Mardi 7 juin se tenait à Paris une conférence présentée par le cabinet SIMON Associés et qui avait pour thème le règlement du Parlement Européen et du Conseil relatif à la protection des données à caractère personnel. Adopté au Parlement le 27 avril dernier et publié au Journal Officiel le 5 mai, ce document de 88 pages propose une meilleure définition des protections existantes concernant les données à caractère personnel.
La question de la forme à donner à ce texte s’est posée pendant longtemps et il aura fallu quatre années de négociation pour le voir en fin entériné par le Parlement européen sous la forme d’un règlement. Ce dernier permet une mise en application rapide puisqu’il n’a pas à être transposé par les droits nationaux: il sera appliqué de façon identique dans tous les États membres afin de ne pas voir certains pays prononcer des peines plus ou moins lourdes que dans le pays voisin.
Plus de protection pour les citoyens
En consultant Facebook ou Twitter, en se rendant sur Amazon et même en effectuant une recherche sur Google des données sont recueillies et utilisées sans que l’on soit toujours au courant. Lorsque vous avez rempli votre formulaire d’inscription sur Facebook, avez-vous lu les conditions de service ou la politique d’utilisation des données? Probablement pas et pourtant en cliquant sur « Inscription » vous avez laissé au réseau social un certain nombre de possibilités d’utilisation de vos données, des données revendues par le géant américain à d’autres entreprises pour faire de la publicité ciblée par exemple…
Infographie publié par le Conseil européen d’un aspect individuel.
Au sein de l’Union Européenne, jusqu’au 25 mai 2016, il existait une directive de 1995 qui ne répondait plus aux enjeux actuels et au niveau national, la CNIL créée en 1978 est chargée de faire appliquer la « Loi informatique et liberté » continuera à le faire. Ce nouveau texte a pour but de mieux encadrer les pratiques d’organismes ou d’entreprises avec les données personnelles fournies par leurs utilisateurs en faisant savoir à ces derniers quels usages seront faits de leurs données. Le règlement enfin renforce les droits des citoyens car il définit mieux les termes de « données à caractère personnel » comme le note Matthieu Bourgeois, avocat associé au sein du cabinet SIMON Associés, dans sa présentation.
Un texte contraignant pour les entreprises
La conférence était principalement à destination de chefs d’entreprises ou de personnes chargées de gérer les données personnelles des clients et ce règlement ainsi que toutes les dispositions prévues en ont laissés certains perplexes. S’il est déjà en vigueur, il ne sera applicable que dans deux ans soit le 25 mai 2018: un laps de temps qui permettra aux entreprises de se conformer aux nombreuses dispositions du texte.
Ainsi, le cœur du règlement est l’utilisation de données à caractère personnel, seulement de nombreuses entreprises qui ont déjà recueilli des informations sur leurs clients sans leur demander un accord conforme au règlement de 2016 (assez logique puisqu’il n’existait pas) devront redemander leur accord, cette fois-ci valide selon les termes du nouveau texte. Cette opération se traduirait dans les faits par des dizaines de milliers de mails à renvoyer avec à la clé un coût pouvant aller jusqu’à plusieurs millions d’euros pour les plus grosses entreprises.
Infographie du Conseil européen sur l’impact du texte pour les entreprises.
D’un point de vue interne enfin, les entreprises devront mettre en place des nouveaux protocoles quant à la gestion et l’utilisation des données comme des serveurs sécurisés et un meilleur contrôle des personnes ayant accès à ces données. Si cela n’était pas le cas, les organisations ou entreprises si elles étaient reconnues coupable s’exposeraient à des amendes pouvant aller jusqu’à 10 millions d’euros ou 4% du chiffre d’affaires annuel mondial.
Infographie reprise et éditée obtenue sur le site internet du Conseil européen