GDPR

I. Introduction

Le 20 juin 2018, la France a adopté la Loi n° 2018-493 relative à la protection des données personnelles, afin de mettre en œuvre le Règlement général sur la protection des données (RGPD) de l’Union européenne.
Cette loi modifie et modernise également la Loi Informatique et Libertés de 1978, afin d’harmoniser le cadre juridique français avec les exigences européennes.

L’autorité nationale chargée de veiller au respect de ces règles est la Commission Nationale de l’Informatique et des Libertés (CNIL). Elle est responsable de la supervision, de l’orientation et de l’application des dispositions du RGPD en France.

Grâce à ce cadre réglementaire, la France dispose aujourd’hui d’un système de protection des données personnelles conforme aux standards européens.

II. Champ d’application

La réglementation relative au RGPD en France s’applique :

• à toute organisation agissant en tant que responsable de traitement ou sous-traitant établie en France ;

• ainsi qu’aux organisations situées en dehors de la France qui proposent des biens ou services à des personnes se trouvant en France, ou qui surveillent leur comportement sur le territoire français.

Peu importe que le traitement des données soit effectué au sein de l’Union européenne ou à l’étranger : dès lors que des données personnelles concernant des personnes en France sont impliquées, la réglementation s’applique.

Elle concerne également les traitements automatisés et certains traitements non automatisés faisant partie d’un système de fichiers.
En revanche, les activités strictement personnelles ou domestiques ne sont pas concernées.

III. Principes du traitement des données

Le traitement des données personnelles doit respecter plusieurs principes fondamentaux :

Licéité, loyauté et transparence
Le traitement doit reposer sur une base juridique valable et être effectué de manière transparente vis-à-vis des personnes concernées.

Limitation des finalités
Les données personnelles ne doivent être collectées que pour des objectifs déterminés, explicites et légitimes.

Minimisation des données
Seules les données strictement nécessaires à la réalisation de ces objectifs doivent être collectées.

Exactitude des données
Les informations doivent être exactes et mises à jour lorsque cela est nécessaire.

Limitation de la conservation
Les données ne doivent être conservées que pendant la durée nécessaire aux finalités pour lesquelles elles ont été collectées.

Sécurité et confidentialité
Les responsables de traitement et les sous-traitants doivent mettre en place des mesures techniques et organisationnelles appropriées afin de protéger les données contre toute perte, accès non autorisé ou altération.

IV. Droits des personnes concernées

Conformément au RGPD et à la législation française, toute personne dispose des droits suivants :

• Droit d’information et d’accès : connaître les données collectées et la manière dont elles sont utilisées.

• Droit de rectification : demander la correction de données inexactes ou incomplètes.

• Droit à l’effacement (droit à l’oubli) : demander la suppression de ses données lorsque les conditions légales sont réunies.

• Droit à la limitation du traitement : restreindre temporairement l’utilisation des données dans certaines situations.

• Droit à la portabilité des données : recevoir ses données dans un format structuré et les transférer à un autre service.

• Droit d’opposition : s’opposer au traitement des données fondé sur l’intérêt légitime ou l’intérêt public.

Pour les mineurs de moins de 15 ans, le traitement des données nécessite l’autorisation des parents ou du tuteur légal, et les informations doivent être présentées dans un langage clair et compréhensible.

V. Obligations des responsables de traitement et des sous-traitants

Les sous-traitants doivent traiter les données uniquement sur instruction écrite du responsable de traitement.

Ils doivent également :

• mettre en œuvre des mesures de sécurité appropriées pour protéger les données ;

• assister le responsable de traitement dans le respect de ses obligations légales, notamment en cas de demande d’un utilisateur.

En cas de violation de données personnelles, le sous-traitant doit en informer immédiatement le responsable de traitement. Celui-ci devra ensuite notifier l’incident à la CNIL dans un délai maximal de 72 heures, lorsque cela est requis.

Les responsables de traitement doivent également :

• tenir un registre des activités de traitement ;

• réaliser une analyse d’impact relative à la protection des données (DPIA) lorsque le traitement présente des risques élevés ;

• désigner un délégué à la protection des données (DPO) dans certaines situations prévues par la loi.

VI. Transferts internationaux de données

Lorsque des données personnelles sont transférées en dehors de l’Union européenne, le responsable de traitement doit s’assurer que le pays destinataire garantit un niveau de protection adéquat.

Cela peut être assuré notamment par :

• une décision d’adéquation de la Commission européenne ;

• ou l’utilisation de clauses contractuelles types (SCC) approuvées par l’Union européenne.

Depuis l’invalidation du mécanisme Privacy Shield le 16 juillet 2020, les entreprises doivent utiliser les nouvelles clauses contractuelles types adoptées le 4 juin 2021 ou tout autre mécanisme légal reconnu.

VII. Contrôle et sanctions

La CNIL dispose de pouvoirs étendus de contrôle et de sanction. Elle peut notamment :

• émettre des avertissements ou des mises en demeure ;

• ordonner la limitation ou la suspension d’un traitement de données ;

• infliger des sanctions administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

La législation française prévoit également la possibilité pour les personnes de déterminer à l’avance l’utilisation de leurs données après leur décès. En l’absence d’instructions, leur traitement reste soumis aux dispositions légales en vigueur.

Le cadre français d’application du RGPD vise ainsi à renforcer la protection des données personnelles, encourager la conformité des organisations et favoriser la confiance dans l’environnement numérique.

VIII. Contact

Téléphone : +1 (956) 276-1697
E-mail :team@norlanewood.com
Adresse :400 W SAINT ELMO RD APT 1005,AUSTIN,TX 78745-3314,United States
Heures d'ouverture : du lundi au vendredi, de 8.30h00 à 17.30h00 (heure d’Europe centrale).