L’application du RGPD par les organisations

Maïté Guillemain

Description

Les pratiques des organisations doivent respecter le droit à la vie privée. Le Règlement Général sur la Protection des Données (RGPD), entré en vigueur au sein de l’Union européenne le 25 mai 2018, renforce les droits des personnes physiques concernées par les données personnelles (e-mails, numéros de téléphone, nom, etc.), accentue les obligations des responsables de traitement et des sous-traitants et aggrave les sanctions encourues.

Toutes les organisations sont concernées : personnes physiques et personnes morales à but lucratif ou non, entreprises, associations, syndicats, administrations. Tous les volumes et traitements de données sont en cause. Il ne s’agit pas seulement du big data, mais des différents fichiers, en version papier ou électronique, quotidiennement utilisés par les organisations.

Cet ouvrage étudie les innovations majeures du règlement, avant de présenter les différentes étapes de mise en conformité au droit nouveau des pratiques des organisations pour assurer la protection et la valorisation de leurs données. Des exemples et des cas pratiques illustrent le propos.

Il est à jour de l’actualité législative et réglementaire la plus récente du droit des données personnelles, en particulier l’ordonnance du 12 décembre 2018.

Destiné tant à un public académique que de praticiens, l’ouvrage propose une vision synthétique et pratique de la nouvelle réglementation sur les données personnelles.

Sujets

• Loi
• Sécurité du système d'information
• Droit

Informations

• Publié par: Éditions EMS
• Nombre de lectures: 50
• EAN13: 9782376872610
• Langue: Français
• Poids de l'ouvrage: 1 Mo

Extrait

Collection « Pratiques d’entreprises »
L’application du RGPD par les organisations
Maïté GUILLEMAIN

136 boulevard du Maréchal Leclerc
14000 CAEN


© 2019. EMS Editions
Tous droits réservés.
www.editions-ems.fr
ISBN : 978-2-37687-261-0
(Versions numériques)


Table des matières
Préface
Introduction
Qui est concerné par la protection des données personnelles ?
Que sont les données personnelles ?
Comment s’applique le RGPD ?
Droit français : ordonnance du 12 décembre 2018
Directive vie privée et communications électroniques (ePrivacy)
Méthode
Chapitre I. La réglementation à mettre en œuvre
I. Les dispositions classiques
A. Droits des personnes
1. Droit d’information
1.1. Information spontanée
1.2. Information demandée
2. Droit d’accès
3. Droit à la rectification
4. Droit d’opposition
4.1. Premier cas
4.2. Second cas
4.3. Conséquences
4.4. Exceptions
B. Principes de traitement des données
1. À quelles conditions un traitement de données est-il licite ?
1.1. Non exclusivité du consentement
1.2. Licéité fondée sur le consentement
1.3. Autres fondements
2. Quels sont les principes relatifs au traitement des données personnelles ?
C. Exceptions
II. Les dispositions nouvelles
A. Droits des personnes
1. Droit à l’effacement (droit à l’oubli)
1.1. Dans quels cas le droit à l’effacement s’applique ?
1.2. Dans quels cas le droit à l’effacement ne s’applique pas ?
2. Droit à la limitation du traitement
3. Droit à la portabilité des données
3.1. Qu’est-ce que le droit à la portabilité des données ?
3.2. Quelle est la conséquence du droit à la portabilité des données ?
4. Droit aux notifications personnelles
4.1. Quels sont les cas de notifications personnelles ?
4.2. Quel est le temps de la notification ?
4.3. Quelle est la forme de la notification ?
4.4. Quels sont les cas dans lesquels la notification n’est pas nécessaire ?
B. Responsabilités
1. Qu’est-ce que le principe de responsabilité (ou accountability ) ?
2. Le responsable de traitement
2.1. Qui est le responsable du traitement ?
2.2. Que doit faire le responsable du traitement ?
3. Le co-responsable
4. Le sous-traitant
4.1. Qui est le sous-traitant ?
Focus n°1. Maison mère et filiales
Focus n°2. Gestion des données personnelles par les collectivités territoriales
4.2. Comment choisir le sous-traitant ?
4.3. Peut-on recourir à un sous-sous-traitant ?
4.4. Quelles sont les obligations du sous-traitant ?
Focus n°3. Fusions et scissions de sociétés
C. Sanctions
1. Sanctions prononcées par la Commission Nationale de l’Informatique et des Libertés (CNIL)
1.1. Les mesures correctrices
1.2. Les amendes administratives
2. Dommages-intérêts
2.1. Responsabilité
2.2. Responsabilité solidaire
3. Sanctions pénales
3.1. Code pénal
3.2. Loi Informatique et Libertés
III. Enjeux pour les organisations
A. Renforcement de la protection et opportunités commerciales
B. Mise en conformité
C. Valorisation des données et compétitivité
D. Réputation
Chapitre II. La mise en œuvre de la réglementation
I. Mesures organisationnelles
A. Désigner un délégué à la protection des données
1. Les cas de désignation
1.1. Cas de désignation obligatoire
1.2. Désignation facultative
2. La personne du délégué
2.1. Qualités
2.2. Origine
3. La fonction du délégué à la protection des données
3.1. Statut
3.2. Droit du travail
3.3. Responsabilité
4. Les missions du d é l é gué à la protection des donn é es
B. Collaborer
1. Avec les sous-traitants
2. Avec les personnes concernées
3. Avec la Commission Nationale Informatique et Libertés (CNIL)
3.1. Consulter préalablement la CNIL en cas de risque élevé
3.2. Accomplir des formalités préalables
Témoignage. Le RGPD et la santé. Thomas Duong, Juriste à l’Institut national des données de santé
3.3. Notifier à la CNIL les violations de données
C. Prouver la conformité
1. Les certifications
2. Les codes de conduite
II. Mesures structurelles
A. Créer un registre des traitements des données
1. Qu’est-ce que le registre des traitements des données ?
2. Qui doit tenir le registre ?
3. Dans quels cas la tenue d’un registre est obligatoire ?
4. Quel est le contenu du registre ?
5. Quand mettre à jour le registre ?
B. Identifier les données traitées
1. Recenser les données personnelles traitées
Focus n°4. Collecte du numéro de sécurité sociale (Numéro d’Inscription au Répertoire)
2. Identifier le nombre de données traitées
3. Déterminer qui a accès aux données
4. Déterminer la durée de conservation des données
Focus n°5. Intelligence artificielle et droit des données personnelles
Focus n°6. Données bancaires
Cas pratique n°1. Droit à l’image et droit des données personnelles
5. Identifier les finalités du traitement des données
Cas pratique n°2. Données nécessaires aux services ressources humaines pour le recrutement
Cas pratique n°3. Gestion du personnel
Cas pratique n°4. Directive vie privée et communications électroniques/RGPD
Focus n°7. Transfert international de données
Cas pratique n°5. Situation internationale
Focus n°8. Le Privacy shield
6. Identifier le fondement juridique du traitement des données
C. Réaliser une étude d’impact
1. Quand réaliser une étude d’impact ?
2. Dans quels cas une analyse d’impact n’est pas exigée ?
3. À quel moment mener une étude d’impact ?
4. Quel est le contenu d’une analyse d’impact ?
D. Élaborer des procédures internes
Cas pratique n°6. Vidéosurveillance sur le lieu de travail
Cas pratique n°7. Géolocalisation des voitures de salariés
Cas pratique n°8. Accès aux locaux professionnels par badge
Cas pratique n°9. Vente en ligne, cookies
III. Mesures techniques
A. Assurer la sécurité du traitement des données
1. Sécuriser les locaux
2. Sécuriser les postes de travail
3. Sécuriser le réseau local
4. Sécuriser les données sauvegardées
5. Pseudonymiser
6. Développer le personnel
B. Protéger dès la conception/par défaut
Bibliographie


Préface
Christophe CARON Professeur agrégé à la Faculté de droit de Paris-Est (UPEC) Avocat à la Cour
Il fallait du courage, du talent et de l’audace pour écrire un livre sur le Règlement général sur la protection des données, bien plus connu sous l’acronyme « RGPD ». Maïté GUILLEMAIN n’a pas eu peur de ces écueils et nous livre un bien bel ouvrage.
Il est vrai que l’on connaît ses talents, qui se sont notamment exprimés dans sa belle thèse de doctorat consacrée aux chaînes de contrats en droit d’auteur. Mais il n’est pas facile d’expliquer clairement un texte qui, à l’instar du RGPD, ne brille pas par sa clarté. Le présent ouvrage atteint parfaitement ce but. En effet, il est clair, synthétique et pédagogue. On sent que l’auteur prend bien soin de ses lecteurs puisque ces derniers bénéficient, tout au long de l’ouvrage, de schémas, de cas pratiques, de focus et de résumés bienvenus, présentés sous la formule « ce qu’il faut retenir ».
Le RGPD fait bien souvent peur, du fait de sa grande complexité. Il existe donc une grande demande d’explication car, il faut bien l’avouer, ce texte inquiète ceux qui doivent le respecter et le mettre en œuvre. Maïté GUILLEMAIN nous livre ici un véritable « Guide pratique » du RGPD qui répond parfaitement à toutes les questions que l’on peut se poser sur ce texte. Des thématiques aussi intéressantes que les données personnelles du salarié coexistent avec la problématique de l’intelligence artificielle. Entre autres, car l’ouvrage est très riche !
Et cet ouvrage est d’autant plus précieux que le RGPD brille par son universalisme. En effet, il concerne tout le monde car il serait erroné de penser qu’il ne doit être respecté que par les entreprises. D’ailleurs, force est de constater que la connaissance de l’acronyme RGPD dépasse largement les cercles des juristes spéc