{"id":3142,"date":"2016-11-02T22:44:52","date_gmt":"2016-11-02T21:44:52","guid":{"rendered":"http:\/\/www.agilit.law\/?p=3142"},"modified":"2021-10-27T00:38:25","modified_gmt":"2021-10-26T22:38:25","slug":"loi-republique-numerique-rgpd-lheure","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/loi-republique-numerique-rgpd-lheure\/","title":{"rendered":"Loi pour une R\u00e9publique num\u00e9rique : le RGPD avant l\u2019heure ?"},"content":{"rendered":"
La loi pour une R\u00e9publique num\u00e9rique [1], publi\u00e9e le 8 octobre 2016, vient sur certains aspects anticiper le r\u00e8glement europ\u00e9en sur la protection des donn\u00e9es personnelles [2] (RGPD) et organiser une phase de transition.<\/div>\n
\n
\n
\n
\n

Aussi, \u00e0 l\u2019heure o\u00f9 les entreprises commencent \u00e0 int\u00e9grer dans leurs r\u00e9flexions et dans leurs process les dispositions du RGPD qui entrera en application le 25 mai 2018<\/strong>, les incidences de la loi pour une R\u00e9publique num\u00e9rique en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel ne doivent pas \u00eatre minor\u00e9es, et ce d\u2019autant que ces dispositions sont (du moins en partie) d\u2019application imm\u00e9diate\u00a0!<\/p>\n

 <\/p>\n

Pour vous convaincre de la n\u00e9cessit\u00e9 de prendre les mesures qui s\u2019imposent, voici un r\u00e9capitulatif de ces nouvelles dispositions et des outils et process \u00e0 d\u00e9ployer d\u00e8s \u00e0 pr\u00e9sent pour une mise en conformit\u00e9 sans d\u00e9lai.<\/p>\n

 <\/p>\n

1\/ La cons\u00e9cration du droit g\u00e9n\u00e9ral pour les personnes concern\u00e9es de disposer et de contr\u00f4ler les usages qui sont faits de leurs donn\u00e9es<\/em><\/strong><\/p>\n

Ce principe est int\u00e9gr\u00e9 dans l\u2019article premier de notre loi \u00ab\u00a0Informatique et libert\u00e9s\u00a0\u00bb [3] et ainsi \u00e9rig\u00e9 au rang des droits et libert\u00e9s fondamentaux en mati\u00e8re de protection des donn\u00e9es personnelles. Il ne doit donc pas \u00eatre entendu comme une simple d\u00e9claration de principe mais doit impliquer la mise en place d\u2019actions concr\u00e8tes. Notamment, cela implique que les responsables de traitement donnent aux personnes concern\u00e9es les moyens techniques et pratiques de choisir l\u2019utilisation qui est faite de leurs donn\u00e9es.<\/p>\n

Une telle cons\u00e9cration s\u2019inscrit dans la droite ligne de l\u2019esprit du RGPD qui vise, entre autres, \u00e0 un renforcement des droits des personnes concern\u00e9es sur leurs donn\u00e9es.<\/p>\n

 <\/p>\n\n\n\n
Actions pratiques<\/strong><\/p>\n

D\u00e9ployer des outils permettant aux personnes concern\u00e9es d\u2019administrer et de piloter l\u2019utilisation de leurs donn\u00e9es, de type VRM (vendor relationship management) par exemple<\/em><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

\n

 <\/p>\n<\/div>\n

2\/ La cr\u00e9ation d\u2019un droit \u00e0 l\u2019oubli pour les mineurs<\/em><\/strong><\/p>\n

La loi pour une R\u00e9publique num\u00e9rique vient introduire dans la loi \u00ab\u00a0Informatique et libert\u00e9s\u00a0\u00bb une nouvelle hypoth\u00e8se du droit \u00e0 l\u2019effacement de leurs donn\u00e9es par les personnes concern\u00e9es comme suit\u00a0:<\/p>\n

\n

\u00ab\u00a0Sur demande de la personne concern\u00e9e, le responsable du traitement est tenu d’effacer dans les meilleurs d\u00e9lais les donn\u00e9es \u00e0 caract\u00e8re personnel qui ont \u00e9t\u00e9 collect\u00e9es dans le cadre de l’offre de services de la soci\u00e9t\u00e9 de l’information lorsque la personne concern\u00e9e \u00e9tait mineure au moment de la collecte<\/em>\u00a0\u00bb.<\/p>\n

\u00a0Selon les termes des travaux parlementaires, sont vis\u00e9es par cette nouvelle hypoth\u00e8se les informations collect\u00e9es sur les r\u00e9seaux sociaux, les plateformes d\u2019\u00e9change en ligne, les moteurs de recherche, les services d\u2019annuaire et de r\u00e9f\u00e9rencement, les fonctionnalit\u00e9s de liens hypertextes ou encore la presse en ligne.<\/p>\n<\/div>\n

Ces dispositions vont m\u00eame plus loin en ce qu\u2019elles imposent au responsable de traitement, s\u2019il a transmis ces donn\u00e9es \u00e0 des tiers, de prendre\u00a0:<\/p>\n

les \u00ab\u00a0mesures raisonnables, y compris d’ordre technique, compte tenu des technologies disponibles et des co\u00fbts de mise en \u0153uvre, pour informer le tiers qui traite ces donn\u00e9es que la personne concern\u00e9e a demand\u00e9 l’effacement de tout lien vers celles-ci, ou de toute copie ou de toute reproduction de celles-ci\u00a0\u00bb.<\/em><\/p>\n

Par ailleurs, contrairement aux autres droits consacr\u00e9s dans la loi \u00ab\u00a0Informatique et libert\u00e9s\u00a0\u00bb (droit d\u2019interrogation, d\u2019acc\u00e8s, de rectification, d\u2019opposition) pour lesquels le responsable de traitement dispose g\u00e9n\u00e9ralement d\u2019un d\u00e9lai de deux mois pour adresser sa r\u00e9ponse, le responsable de traitement se voit imposer, pour ce \u00ab\u00a0droit \u00e0 l\u2019oubli\u00a0\u00bb, un d\u00e9lai d\u2019un mois seulement \u00e0 compter de la demande pour s\u2019ex\u00e9cuter.<\/p>\n

Ce nouveau droit, qui souffre toutefois de certaines exceptions, n\u2019est en tout \u00e9tat de cause qu\u2019un pr\u00e9lude au droit d\u2019effacement plus g\u00e9n\u00e9ral int\u00e9gr\u00e9 dans le RGPD\u2026<\/p>\n\n\n\n
Actions pratiques<\/strong><\/p>\n

Int\u00e9grer la gestion de ces demandes d\u2019effacement dans la proc\u00e9dure actuelle de gestion des demandes d\u2019exercice de leurs droits (interrogation, acc\u00e8s, rectification, opposition) par les personnes concern\u00e9es ou en cr\u00e9er une le cas \u00e9ch\u00e9ant<\/em><\/p>\n

S\u2019assurer que les process et outils utilis\u00e9s en interne permettent, s\u2019agissant des demandes d\u2019effacement, de\u00a0:<\/em><\/p>\n

(i) faire remonter ces demandes aux personnes en charge de leur traitement (cf. proc\u00e9dure courrier)\u00a0;<\/em><\/p>\n

(ii) r\u00e9pondre \u00e0 ce type de demandes dans le d\u00e9lai imparti (cf. effacement)\u00a0;<\/em><\/p>\n

(iii) tracer l\u2019origine et les destinataires des donn\u00e9es afin de pouvoir informer ces derniers en cas de r\u00e9ception d\u2019une telle demande.<\/em><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

\n

 <\/p>\n<\/div>\n

3\/ L\u2019av\u00e8nement d\u2019un droit \u00e0 la ma\u00eetrise de ses donn\u00e9es port-mortem<\/em><\/strong><\/p>\n

Un nouvel article ins\u00e9r\u00e9 dans la loi \u00ab\u00a0Informatique et libert\u00e9s\u00a0\u00bb par la loi pour une R\u00e9publique num\u00e9rique vient d\u00e9sormais pr\u00e9ciser que les droits d\u2019interrogation, d\u2019acc\u00e8s, de rectification et d\u2019opposition des personnes concern\u00e9es s\u2019\u00e9teignent avec le d\u00e9c\u00e8s de ces derni\u00e8res. Toutefois\u00a0:<\/p>\n

\n

\u00ab\u00a0Toute personne peut d\u00e9finir des directives relatives \u00e0 la conservation, \u00e0 l’effacement et \u00e0 la communication de ses donn\u00e9es \u00e0 caract\u00e8re personnel apr\u00e8s son d\u00e9c\u00e8s. Ces directives sont g\u00e9n\u00e9rales ou particuli\u00e8res.\u00a0\u00bb<\/em><\/p>\n<\/div>\n

A cet \u00e9gard, si la mise en pratique des directives g\u00e9n\u00e9rales (cf. directives qui s\u2019appliqueront \u00e0 l\u2019ensemble des responsables de traitement) demeure subordonn\u00e9e \u00e0 la publication de textes d\u2019application, les dispositions relatives aux directives particuli\u00e8res sont d\u2019ores et d\u00e9j\u00e0 applicables.<\/p>\n

En outre, afin de permettre \u00e0 la personne concern\u00e9e d\u2019\u00e9valuer l\u2019opportunit\u00e9 de la formalisation de directives particuli\u00e8res\u00a0:<\/p>\n

\n

\u00ab\u00a0Tout prestataire d\u2019un service de communication au public en ligne doit informer l\u2019utilisateur du sort des donn\u00e9es qui le concernent \u00e0 son d\u00e9c\u00e8s et lui permettre de choisir de communiquer ou non ses donn\u00e9es \u00e0 un tiers qu\u2019il d\u00e9signe\u00a0\u00bb.<\/em><\/p>\n<\/div>\n

En l\u2019absence de directives, certains droits peuvent \u00eatre exerc\u00e9s par les h\u00e9ritiers (par exemple pour l\u2019organisation et le r\u00e8glement de la succession ou en vue de de la prise en compte du d\u00e9c\u00e8s de la personne concern\u00e9e par les responsables de traitement disposant des donn\u00e9es de cette derni\u00e8re).<\/p>\n

 <\/p>\n\n\n\n
Actions pratiques<\/strong><\/p>\n
\n

D\u00e9finir des principes r\u00e9gissant le sort des donn\u00e9es personnelles en cas de d\u00e9c\u00e8s de la personne concern\u00e9e<\/em><\/p>\n

D\u00e9ployer des outils de stockage, de r\u00e9f\u00e9rencement et\/ou d\u2019indexation des \u00ab\u00a0directives\u00a0\u00bb, et pr\u00e9voir un process adapt\u00e9 permettant la prise en compte de ces directives d\u00e8s la connaissance de l\u2019information portant sur le d\u00e9c\u00e8s d\u2019une personne concern\u00e9e<\/em><\/p>\n<\/div>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

 <\/p>\n

4\/ L\u2019obligation de mettre \u00e0 jour les mentions d\u2019information<\/em><\/strong><\/p>\n

Si sur ce point le RGPD impose, \u00e0 compter du 25 mai 2018, de nombreuses mentions obligatoires (compl\u00e9mentaires \u00e0 celles existant \u00e0 ce jour) \u00e0 l\u2019attention des personnes concern\u00e9es, la loi pour une R\u00e9publique num\u00e9rique vient, pendant la phase de transition, d\u00e9j\u00e0 ajouter certaines mentions suppl\u00e9mentaires par rapport \u00e0 celles qui \u00e9taient jusqu\u2019alors mises \u00e0 la charge des responsables de traitement.<\/p>\n

Ainsi, les \u00e9l\u00e9ments compl\u00e9mentaires suivants doivent d\u00e9sormais \u00eatre int\u00e9gr\u00e9s dans les mentions d\u2019information, afin d\u2019informer la personne concern\u00e9e\u00a0:<\/p>\n

\n

\u00ab\u00a0Des droits qu’elle tient [\u2026] dont celui de d\u00e9finir des directives relatives au sort de ses donn\u00e9es \u00e0 caract\u00e8re personnel apr\u00e8s sa mort\u00a0\u00bb\u00a0;<\/em><\/p>\n

\u00ab\u00a0De la dur\u00e9e de conservation des cat\u00e9gories de donn\u00e9es trait\u00e9es ou, en cas d’impossibilit\u00e9, des crit\u00e8res utilis\u00e9s permettant de d\u00e9terminer cette dur\u00e9e\u00a0\u00bb.<\/em><\/p>\n<\/div>\n

 <\/p>\n

\n\n\n\n
Actions pratiques<\/strong><\/p>\n

Cartographier l\u2019ensemble des supports \u00e0 l\u2019attention des personnes concern\u00e9es et devant comporter une mention d\u2019information (formulaires de collecte, conditions g\u00e9n\u00e9rales et contrats, mentions l\u00e9gales sur site internet,\u2026)<\/em><\/p>\n

Mettre \u00e0 jour les mentions d\u2019information y figurant en distinguant, conform\u00e9ment \u00e0 la loi fran\u00e7aise, les mentions \u00e0 int\u00e9grer sur les questionnaires de collecte de donn\u00e9es et les autres mentions<\/em><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

 <\/p>\n

5\/ La facilitation de l\u2019exercice de leurs droits par les personnes concern\u00e9es<\/em><\/strong><\/p>\n<\/div>\n

Toujours dans une optique de renforcement des droits des personnes concern\u00e9es, la loi pour une R\u00e9publique num\u00e9rique pr\u00e9voit que lorsque le responsable d\u2019un traitement a collect\u00e9 des donn\u00e9es personnelles par voie \u00e9lectronique, il doit permettre \u00e0 toute personne d\u2019exercer les droits dont elle dispose par la m\u00eame voie lorsque cela est possible.<\/p>\n

 <\/p>\n

\n\n\n\n
Actions pratiques<\/strong><\/p>\n

S\u2019assurer qu\u2019en cas de collecte de donn\u00e9es personnelles en ligne, il existe une possibilit\u00e9 pour les personnes concern\u00e9es d\u2019exercer leurs droits via un formulaire en ligne ou par courrier \u00e9lectronique<\/em><\/p>\n

Mettre \u00e0 jour les mentions d\u2019information \u00e0 l\u2019attention des personnes concern\u00e9es pour y ins\u00e9rer cette pr\u00e9cision (adresse email de contact ou lien vers un formulaire en ligne d\u00e9di\u00e9)<\/em><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

 <\/p>\n

6\/ L\u2019augmentation des sanctions encourues<\/em><\/strong><\/p>\n<\/div>\n

Enfin, le renforcement des droits des personnes concern\u00e9es passe \u00e9galement par un renforcement des pouvoirs de sanction de la Cnil qui se traduit par\u00a0:<\/p>\n