Structure de 250 salariés et plus
Structure de 250 salariés et plus : Le RGPD (Règlement Général sur la Protection des Données) s’applique à toutes les structures qui traitent des données personnelles de personnes se trouvant dans l’UE. Qu’elles soient publiques ou privées, grandes ou petites. Le RGPD s’applique à toutes les entreprises qui traitent des données personnelles de résidents de l’Union Européenne (UE). Quels que soient leur taille, leur secteur d’activité ou leur localisation. Il n’y a pas d’exemption pour les petites et moyennes entreprises (PME).
Structure de 250 salariés et plus :
Le RGPD impose aux entreprises de respecter plusieurs obligations, telles que :
- Informer les personnes concernées de la collecte et du traitement de leurs données. Ainsi que de leurs droits (accès, rectification, effacement, opposition, portabilité, etc.).
- Obtenir le consentement explicite des personnes concernées pour tout traitement de données personnelles. Sauf si le traitement est nécessaire pour l’exécution d’un contrat, le respect d’une obligation légale ou la sauvegarde des intérêts vitaux.
- Limiter la collecte et le traitement des données au strict nécessaire pour la finalité poursuivie. Et ne pas les conserver au-delà de la durée nécessaire.
- Assurer la sécurité et la confidentialité des données. En mettant en place des mesures techniques et organisationnelles appropriées pour prévenir les risques de perte, de vol, de divulgation ou d’altération.
- Désigner un Délégué à la Protection des Données (DPO). Qui sera le référent en matière de RGPD au sein de l’entreprise et auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL). Cette désignation est obligatoire pour les entreprises qui traitent des données sensibles (santé, opinions politiques, etc.). Mais aussi qui effectuent un suivi régulier et systématique des personnes ou qui sont des autorités publiques.
Structure de 250 salariés et plus :
Tenir un registre des activités de traitement des données personnelles :
Il doit contenir des informations sur l’identité du responsable du traitement. Mais aussi les finalités du traitement, les catégories de données et de personnes concernées, les destinataires des données. Et encore les transferts éventuels vers des pays tiers, les délais de conservation et les mesures de sécurité. Ce registre est obligatoire pour les entreprises de plus de 250 salariés. Ou pour celles qui traitent des données à risque ou non occasionnellement. Mais aussi :
- Réaliser une analyse d’impact sur la protection des données (AIPD) avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées. Par exemple : profilage, vidéosurveillance, biométrie, etc. Cette analyse doit évaluer la nécessité et la proportionnalité du traitement. Ainsi que les risques identifiés et les mesures prévues pour les atténuer.
- Notifier à la CNIL toute violation de données personnelles dans un délai maximum de 72 heures après en avoir pris connaissance. Sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. En cas de risque élevé, il faut également informer sans délai les personnes concernées.
Structure de 250 salariés et plus : Les autres obligations du RGPD concernent notamment :
Le respect des principes du RGPD, tels que la licéité, la loyauté, la transparence. Mais aussi, la limitation des finalités, la minimisation des données, l’exactitude. Ou encore, la limitation de la conservation, l’intégrité et la confidentialité.
L’obtention du consentement des personnes concernées pour le traitement de leurs données personnelles. Sauf si le traitement repose sur une autre base légale, telle que l’exécution d’un contrat, le respect d’une obligation légale. Ou encore, l’intérêt légitime du responsable du traitement.
L’information des personnes concernées sur leurs droits et les modalités d’exercice de ces droits. Tels que le droit d’accès, de rectification, d’effacement, de limitation, d’opposition ou de portabilité des données. Mais aussi :
- L’assurance de la sécurité des données personnelles contre les risques de perte, d’altération, d’accès non autorisé ou de divulgation.
- La notification des violations de données à la CNIL et aux personnes concernées dans les meilleurs délais en cas de risque élevé pour leurs droits et libertés.
- La coopération avec la CNIL en cas de contrôle ou de demande d’information.
- Le respect des codes de conduite et des certifications approuvés par la CNIL ou par le Comité Européen de la Protection des Données (CEPD).
Le non-respect du RGPD peut entraîner des sanctions administratives pouvant aller jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.