À la une

Le GDPR - Vers une meilleure protection de la vie privée

Le GDPR - Vers une meilleure protection de la vie privée

Mise en application du nouveau règlement européen GDPR (General Data Protection Regulation, règlement 2016/679)

Ce règlement européen est un texte à effet direct, c’est-à-dire qu’il n’y a pas besoin de loi nationale pour le transposer. Il sera directement applicable sur l’ensemble du territoire de l’Union européenne le 25 mai 2018. Le GDPR constitue l’une des plus vastes législations que l’UE ait adoptées ces dernières années, et un certain nombre de concepts à mettre en oeuvre, tels que le terme registre des traitements, analyse de risque, droit à l’oubli numérique, la portabilité des données, la notification des violations de données, et la responsabilité dite “accountability” (pour n’en citer que quelques-uns) nécessiteront un certain temps d’adaptation.

mercredi 10 janvier 2018/Number of views (134)/Comments (0)/
RSS

FAQ

Une seule adresse pour nos réponses à toutes vos questions concernant le GDPR.

En savoir plus »

Downloads

Une sélection de documents pour mieux comprendre le GDPR.

En savoir plus »

Blog

Informations, bonnes pratiques et communications autour du GDPR.

En savoir plus »

Législation

Projet de loi relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel.

En savoir plus »

Le GDPR en bref

Qui est concerné ?

Le GDPR s'adresse à toutes les instances (entreprises, sociétés, administrations etc.) qui traitent  ou possèdent des données à caractère personnel (données de citoyens européens)

Quel est l'objectif ?

Le GDPR vise à renforcer le droit des citoyens européens en les informant de l’usage  - automatisé ou non - qui est fait de leurs données personnelles. Chacun pourra dès lors demander à une instance qui enregistre ses informations personnelles de les récupérer et, dans certains cas, de les supprimer. Plus particulièrement, les données des mineurs de moins de 16 ans ne pourront être acquises sans le consentement des parents.

Que faut-il faire?

Toutes les instances qui recueillent des données personnelles devront mettre en place un certain nombre de mesures. Voici les plus importantes:

  • Tenir un registre des activités de traitement des données. Dans ce contexte, l’État luxembourgeois met à disposition l’application « DataREG » qui sert à enregistrer tous traitements de données à caractère personnels grâce à des fiches d’inventaires ;
  • Prouver que de bonnes méthodes de gouvernance interne pour le respect du GDPR ont été mises en place, notamment en termes de cybersécurité. À cet effet, le CGIE conseille aux différentes entités d’implémenter la Politique de Sécurité de l’information de l’État luxembourgeois (PSI-LU) élaborée par l’ANSSI (Agence Nationale pour la Sécurité d’Information) et approuvée par le Conseil de gouvernement en date du 16 mars 2016.
  • Nommer un délégué à la protection des données (DPO);
  • S’assurer de la conformité des éventuels sous-traitants choisis en matière de gestion ou de stockage des données numériques;
  • Notifier tout incident de sécurité aux autorités dans un délai de 72 heures.

Qui est responsable ?

Le responsable du traitement est celui qui prend l’initiative de (faire) collecter et tenir des données à caractère personnel. L’unique point de contact avec les autorités sera le représentant légal de l’entité. Certaines responsabilités seront toutefois partagées avec le sous-traitant, qui devra respecter des obligations spécifiques en matière de sécurité et de confidentialité.

Quelles sont les sanctions ?

En cas de non-respect du GDPR, les amendes prévues vont de 10 à 20 millions d’euros, ou de 2% à 4% du chiffre d’affaires mondial de l’entité concernée, le montant le plus élevé étant celui qui est retenu. Le montant des amendes dépendra de la nature de l’infraction ainsi que de l’éventuelle récidive du responsable de traitement.