Administrations et entreprises ont huit mois pour se conformer au nouveau règlement européen pour la protection des données personnelles.
Le temps presse. Administrations et entreprises n’ont plus que quelques mois pour se préparer au nouveau règlement européen qui leur imposera notamment, dès le 25 mai 2018, de communiquer toutes les violations de la confidentialité des données personnelles qu’elles détiennent.
Adopté en avril 2016 après une longue maturation, le Règlement général pour la protection des données (RGPD, ou GDPR en anglais) repose sur le droit fondamental que constitue, pour toute personne se trouvant sur le territoire européen, la protection de sa vie privée et de ses données personnelles.
“En pratique, le droit européen s’appliquera donc chaque fois qu’un résident européen sera directement visé par un traitement de données, y compris par internet”, précise la Commission nationale de l’informatique et des libertés (Cnil).
Tous responsables des données recueillies
Sont concernés les entreprises, administrations, associations, partis politiques, et aussi les sous-traitants qu’ils soient dans l’Union européenne ou pas. Ils seront tenus de ne collecter que les données nécessaires. Ils ne pourront pas les garder plus longtemps que nécessaire, et devront s’assurer du consentement éclairé des intéressés, qui garderont un droit de regard.
Tous ces acteurs seront responsables de ces données, devront en envisager la protection dès la conception de leurs produits et services, et seront obligés de prévenir rapidement l’autorité compétente --en France, la Cnil-- en cas de perte, de vol ou de divulgation. Les personnes concernées devront aussi en être informées.
Concrètement, résume Laurent Heslault, directeur des stratégies de sécurité de Symantec, “une entreprise doit à tout moment savoir de quelles données elle dispose, leur localisation, l’objectif de leur collecte et leur mode de gestion, stockage, sécurisation, transfert et effacement”.
“En mode panique”
Elle devra en outre “être en mesure de déceler si leur intégrité a été compromise et y remédier promptement, tout en consignant et notifiant l’événement”. “Le GDRP s’applique aussi au format papier”, indique-t-il à l’AFP. “Il vaut mieux ne pas trop imprimer les données à caractère personnel!” La notification des incidents est une petite révolution, car la plupart des entreprises françaises préfèrent actuellement garder secrètes les attaques dont elles sont victimes, pour mieux combattre les hackers, ou le plus souvent pour préserver leur réputation.
Pour l’heure, “on est en mode panique”, constate Laurent Heslault, estimant qu’“il n’y a pas grand monde qui sera conforme le 25 mai 2018”. Il faut dire qu’il y a du travail. Outre la désignation d’un délégué à la protection des données (DPO), il faut commencer à identifier où sont ces données, et mettre au point des stratégies de défense, de réponse aux incidents et de gestion d’éventuels contentieux. De quoi donner bien du travail aux consultants.
Les premières amendes donneront le ton
Les amendes pourront aller jusqu’à 4% du chiffre d’affaires mondial, ou 20 millions d’euros pour un parti ou une association. “Tout le monde se demande qui va être pris le premier dans le pot de confiture et combien il va prendre”, […]
Source et suite : http://www.rtl.fr/actu/futur/la-difficile-preparation-au-reglement-europeen-sur-les-donnees-personnelles-7790510550
