Ce règlement européen est un texte à effet direct, c’est-à-dire qu’il n’y a pas besoin de loi nationale pour le transposer. Il sera directement applicable sur l’ensemble du territoire de l’Union européenne le 25 mai 2018. Le GDPR constitue l’une des plus vastes législations que l’UE ait adoptées ces dernières années, et un certain nombre de concepts à mettre en oeuvre, tels que le terme registre des traitements, analyse de risque, droit à l’oubli numérique, la portabilité des données, la notification des violations de données, et la responsabilité dite “accountability” (pour n’en citer que quelques-uns) nécessiteront un certain temps d’adaptation.
Les règles et obligations du GDPR s’appliquent au traitement – automatisé ou non – des données à caractère personnel. L’objectif du GDPR est de renforcer l’encadrement des pratiques en matière de collecte et d’utilisation des données à caractère personnel.
La logique du nouveau règlement est la suppression des formalités préalables auprès des autorités nationales de contrôle (CNPD). Il n’y a donc plus de déclaration ou de demandes d’autorisation préalable à la mise en place de traitements de données à caractère personnel.
Cependant, à partir du 25 mai 2018, le responsable du traitement (celui qui prend l’initiative de (faire) collecter et tenir des données à caractère personnel) a l’obligation de mettre en oeuvre des mécanismes et des procédures permettant de démontrer le respect des règles relatives à la protection des données.
Concrètement, les spécifications mêmes des applications qui traitent les données et leurs procédures d’exploitation devront prendre en compte les règles de protection des données personnelles édictées par le règlement. Cette documentation devra exister et être mise à disposition de la CNPD en cas de contrôle.
De plus, chaque responsable de traitements doit mettre en place un « registre des traitements de données » contenant un certain nombre d’informations au sujet des traitements de données d’une entité.