RGPD

Ce que ça change pour une organisation

Le RGPD s’applique dès qu’une organisation traite des données de personnes situées dans l’Union, y compris lorsqu’elle est établie à l’étranger (article 3). Il repose sur la responsabilisation : c’est à l’organisation de prouver sa conformité, et non à l’autorité de démontrer un manquement.

Concrètement, cela passe par un registre des traitements, des analyses d’impact pour les traitements à risque, des contrats encadrant les sous-traitants (article 28) et, dans certains cas, la désignation d’un délégué à la protection des données. Une violation de données présentant un risque pour les personnes doit être notifiée à l’autorité de contrôle dans les 72 heures (article 33). Les amendes vont jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83).

Exemple

Une entreprise française qui confie son fichier clients à un prestataire américain reste responsable du traitement. Elle doit encadrer le transfert hors de l’Union (décision d’adéquation ou clauses contractuelles types) et vérifier les garanties réellement offertes par le prestataire, y compris face aux lois étrangères qui s’imposent à lui.

À ne pas confondre avec

• La loi Informatique et Libertés de 1978, toujours en vigueur, qui complète le RGPD en droit français.
• La souveraineté : être conforme au RGPD ne protège pas d’un accès par une autorité étrangère fondé sur un droit extraterritorial, comme le CLOUD Act.