Par Anne-Laure Villedieu, avocat associé en droit de la propriété intellectuelle. Elle intervient tant en conseil qu’en contentieux, notamment dans les domaines du droit d’auteur, de la propriété industrielle (marques, brevets, dessins et modèles) et de l’informatique, des communications électroniques et de la protection des données personnelles. anne-laure.villedieu@cms-fl.com et Maïté Ollivier, avocat en droit social. maite.ollivier@cms-fl.com

Le RGPD, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, marque un revirement dans la conception du rapport entre les responsables de traitement et les autorités de contrôle.

«Au contrôle a priori des traitements par l’autorité compétente via l’accomplissement de formalités préalables, est substitué un principe de responsabilité selon lequel le responsable du traitement devra justifier de sa conformité aux règles posées par le texte.»

L’un des objectifs principaux de la réforme est d’améliorer l’effectivité de la protection, en permettant une responsabilisation accrue des responsables de traitement.

La règlementation précédemment applicable subordonnait les traitements de données personnelles à l’accomplissement de certaines formalités auprès de l’autorité de contrôle (déclaration ou autorisation préalable de la CNIL2).

Cette approche a fait l’objet de critiques, l’obligation générale de notifier les traitements aux autorités de contrôle générant une charge administrative et financière, sans pour autant systématiquement contribuer à améliorer la protection des données à caractère personnel.

Principe général de responsabilité (accountability)

Le RGPD opte ainsi pour une méthode différente : le responsable du traitement devra désormais mettre en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer que le traitement est effectué conformément au règlement.

L’accountability implique la mise en place d’une véritable gouvernance des données, qui doit se traduire par le déploiement de diverses mesures concrètes, incluant notamment le renforcement de la sécurité des systèmes d’information, l’adoption de mesures de pseudonymisation, la minimisation des données traitées, la désignation d’un délégué à la protection des données ainsi que la rédaction d’informations et de formulaires de consentement clairs à destination des personnes dont les données font l’objet d’un traitement. 

En pratique, ces mesures impliquent de prendre en considération la protection des données dans les projets depuis leur origine, dès le stade de la R&D, et d’assurer la conformité des produits et services proposés aux dispositions du règlement (privacy by design). Ces mesures doivent également garantir que, par défaut, seules les données nécessaires au regard de la finalité spécifique du traitement sont collectées et utilisées (privacy by default).

Se pré-constituer la preuve de la conformité

Il ne suffit pas aux entreprises de se conformer au RGPD. Elles doivent se préparer à en justifier auprès des personnes concernées ou de l’autorité de contrôle.

Les entreprises doivent démontrer connaître et maitriser leurs traitements. A cette fin, il leur incombe d’identifier et de cartographier les flux de données, étape indispensable à l’établissement d’un registre des traitements imposé pour les entités de plus de 250 salariés. Elles doivent avoir sécurisé ces flux par la conclusion de contrats formels avec leurs sous-traitants et, en cas de transfert de données à destination d’Etats tiers à l’espace énonomique européen, avoir mis en œuvre des mesures permettant de garantir un niveau adéquat de sécurité des traitements. De même, lorsque les données sont traitées sur la base du consentement, le responsable doit conserver la preuve de l’autorisation reçue. Les analyses d’impact des traitements à risque et les contrôles de proportionnalité des traitements basés sur l’intérêt légitime doivent également être documentés.

La conformité au RGPD suppose le déroulement d’un programme de conformité structuré, impliquant des changements de process et parfois même des évolutions des systèmes d’information.

1. Règlement (UE) 2016/679 du 27 avril 2016.

2. Commission nationale de l’informatique et des libertés.