Les grands principes du RGPD se trouvent notamment dans son article 5. Les voici r\u00e9capitul\u00e9s avec quelques mots d’explication. Toute formation RGPD dispens\u00e9e aux employ\u00e9s doit couvrir ces principes \u00e0 minima.<\/p>\n
En Europe et ailleurs, les principes fondamentaux de la protection des donn\u00e9es personnelles guident le contenu des lois sur le sujet. Ce ne sont pas que les principes du RGPD ; ils existent dans d’autres textes sur le droit \u00e0 la protection des donn\u00e9es personnelles. On les retrouve par exemple dans les instruments internationaux et nationaux que sont les lignes directrices\u00a0de l’OCDE<\/a> et m\u00eame dans\u00a0la PIPL en Chine<\/a>. Savoir quels sont les principes du RGPD est primordial. Tous ces principes se recoupent, s’enchev\u00eatrent et sont interd\u00e9pendants, ce qui explique que les diff\u00e9rents textes et la doctrine juridique en distinguent des nombres diff\u00e9rents.<\/p>\n Voir aussi : Les principes \u00e9thiques de l’IA<\/a><\/em><\/p>\n Lic\u00e9it\u00e9 : la collecte et le traitement doivent reposer sur au moins un des fondements juridiques de l’article 6<\/a>\u00a0du RGPD. Loyaut\u00e9 : Ce qui est trait\u00e9 doit correspondre \u00e0 ce qui a \u00e9t\u00e9 d\u00e9crit \u00e0 la personne concern\u00e9e. Cette information claire lui permet par exemple de donner un consentement valide ou d’exercer ses droits. Sur le consentement, voir les lignes directrices du CEPD.<\/p>\n Les personnes concern\u00e9es sont en droit d\u2019obtenir les informations n\u00e9cessaires pour assurer un traitement loyal (notamment les informations sur les finalit\u00e9s du traitement). Il convient de bien identifier le responsable du traitement. \u00c0 consulter, les lignes directrices du CEPD sur le sujet.<\/p>\n La transparence est regroup\u00e9e avec les autres principes du RGPD que sont la lic\u00e9it\u00e9 et la loyaut\u00e9 \u00e0 l’article 5.1.a, bien que la doctrine juridique en fasse habituellement un principe distinct. Les articles<\/p>\n Les donn\u00e9es personnelles ne peuvent \u00eatre obtenues que pour des \u00ab\u00a0finalit\u00e9s d\u00e9termin\u00e9es, explicites et l\u00e9gitimes\u00a0\u00bb (article 5.1.b). Les donn\u00e9es ne peuvent \u00eatre utilis\u00e9es qu’aux fins sp\u00e9cifiques ayant justifi\u00e9 la collecte et\/ou traitement en premier lieu.<\/p>\n Les donn\u00e9es recueillies sur un sujet doivent \u00eatre \u00ab\u00a0ad\u00e9quates, pertinentes et limit\u00e9es \u00e0 ce qui est n\u00e9cessaire au regard des finalit\u00e9s pour lesquelles elles sont trait\u00e9es\u00a0\u00a0\u00bb (article 5.1.c). En d’autres termes, la quantit\u00e9 minimale de donn\u00e9es doit \u00eatre recueillie et conserv\u00e9e pour un traitement sp\u00e9cifique. Voir l’article de la CNIL sur la pertinence des donn\u00e9es<\/a>.<\/p>\n Les donn\u00e9es doivent \u00eatre \u00ab\u00a0exactes et, si n\u00e9cessaire, tenues \u00e0 jour\u00a0\u00bb (article 5.1.d). Il incombe aux d\u00e9tenteurs de donn\u00e9es de cr\u00e9er des processus de rectification et suppression dans les bases de donn\u00e9es des donn\u00e9es des sujets. Ce qui rejoint le principe du droit d’acc\u00e8s et ses composantes.<\/p>\n Par le droit d’acc\u00e8s<\/a>, les personnes concern\u00e9es sont en droit d\u2019obtenir la communication des informations personnelles les concernant, sauf si les demandes sont manifestement abusives du fait de leur fr\u00e9quence d\u00e9raisonnable, de leur nombre ou de leur nature r\u00e9p\u00e9titive ou syst\u00e9matique.<\/p>\n Les sources des donn\u00e9es \u00e0 caract\u00e8re personnel peuvent ne pas \u00eatre identifi\u00e9es lorsque cela n\u2019est pas possible au prix d\u2019efforts raisonnables ou lorsque les droits de personnes autres que celle concern\u00e9e seraient viol\u00e9s.<\/p>\n Les personnes concern\u00e9es ont le droit de faire rectifier, modifier ou supprimer les donn\u00e9es \u00e0 caract\u00e8re personnel les concernant lorsqu\u2019elles sont inexactes ou font l\u2019objet d\u2019un traitement contraire aux pr\u00e9sents principes. En cas de doute s\u00e9rieux quant \u00e0 la l\u00e9gitimit\u00e9 de la demande, l\u2019organisation peut demander d\u2019autres justifications avant de proc\u00e9der \u00e0 la rectification, \u00e0 la modification ou \u00e0 la suppression. La notification de toute rectification, modification ou suppression aux tiers \u00e0 qui les donn\u00e9es ont \u00e9t\u00e9 divulgu\u00e9es peut \u00eatre omise lorsque cela implique un effort disproportionn\u00e9. Les personnes concern\u00e9es doivent \u00e9galement \u00eatre en mesure de s\u2019opposer au traitement des donn\u00e9es les concernant pour des raisons imp\u00e9rieuses et l\u00e9gitimes relatives \u00e0 leur situation personnelle.<\/p>\n Important, le RGPD cr\u00e9e le droit \u00e0 la portabilit\u00e9 des donn\u00e9es<\/a>, qui est une extension du droit d’acc\u00e8s.<\/p>\n Le GDPR dispose que les donn\u00e9es personnelles soient \u00ab\u00a0conserv\u00e9es sous une forme permettant l\u2019identification des personnes concern\u00e9es pendant une dur\u00e9e n\u2019exc\u00e9dant pas celle n\u00e9cessaire au regard des finalit\u00e9s pour lesquelles elles sont trait\u00e9es\u00a0\u00bb (article 5.1.e). En d’autres mots, les donn\u00e9es qui ne sont plus requises doivent \u00eatre supprim\u00e9es. Voir les recommandations de la CNIL<\/a>.<\/p>\n Le responsable du traitement des donn\u00e9es personnelles doit en garantir la s\u00e9curit\u00e9, \u00ab\u00a0y compris la protection contre le traitement non autoris\u00e9 ou illicite et contre la perte, la destruction ou les d\u00e9g\u00e2ts d\u2019origine accidentelle\u00a0\u00bb \u00a0(article 5.1.f).<\/p>\n Le\u00a0responsable du traitement doit prendre des mesures de s\u00e9curit\u00e9, sur le plan technique et au niveau de l\u2019organisation, qui sont appropri\u00e9es au regard des risques pr\u00e9sent\u00e9s par le traitement, notamment la destruction fortuite ou illicite, la perte fortuite, l\u2019alt\u00e9ration, la divulgation ou l\u2019acc\u00e8s non autoris\u00e9.<\/p>\n Toute personne agissant sous l\u2019autorit\u00e9 du responsable du traitement, y compris ses propres sous-traitants, ne doit traiter les donn\u00e9es que sur ses instructions.<\/p>\n C’est un sujet large, particuli\u00e8rement sensible et technique. La CNIL propose beaucoup de ressources<\/a> pour vous aider.<\/p>\n Le responsable du traitement des donn\u00e9es doit \u00eatre capable de d\u00e9montrer sa conformit\u00e9 avec la totalit\u00e9 des autres principes. (article 5.2). Cela passe notamment par la tenue de registres de traitement<\/a> et les \u00e9tudes d’impact sur la vie priv\u00e9e<\/a> (Privacy Impact Assessments<\/em>), mais aussi les analyses de lic\u00e9it\u00e9 et les analyses d’int\u00e9r\u00eat l\u00e9gitime.<\/p>\n Pour pouvoir d\u00e9montrer sa conformit\u00e9 au RGPD, une entreprise doit notamment s’assurer qu’une formation RGPD<\/a> est prodigu\u00e9e \u00e0 ses employ\u00e9s. Celle-ci peut \u00eatre \u00e0 distance en e-learning, mais elle doit \u00eatre adapt\u00e9e au niveau d’exposition des employ\u00e9s aux donn\u00e9es personnelles et prodigu\u00e9e par des consultants RGPD<\/a> exp\u00e9riment\u00e9s. Par exemple, un RH devra recevoir une formation RGPD plus pouss\u00e9e qu’un employ\u00e9 en logistique. Il devra parfaitement conna\u00eetre quels sont les principes de la protection des donn\u00e9es personnelles, puisque cet employ\u00e9 est en premi\u00e8re ligne des traitements sensibles. Mais sa formation doit aussi aller au-del\u00e0, puisqu’il faudra \u00eatre capable de r\u00e9aliser ou participer \u00e0 des analyses d’impact (DPIA), etc.<\/p>\n Pour les employ\u00e9s moins expos\u00e9s, une sensibilisation aux principes du RGPD peut suffire. Dans tous les cas, l’entreprise doit pouvoir d\u00e9montrer avoir donn\u00e9 cette formation (via des certificats et listes de participation, notamment).<\/p>\n","protected":false},"excerpt":{"rendered":" Les grands principes du RGPD se trouvent notamment dans son […]<\/p>\n","protected":false},"author":1,"featured_media":21,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[26],"tags":[3],"class_list":["post-16","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-union-europeenne","tag-rgpd"],"yoast_head":"\nLes principes du RGPD sont :<\/h2>\n
1. Lic\u00e9it\u00e9 et loyaut\u00e9<\/h3>\n
2. Transparence<\/h3>\n
3. Limitation des finalit\u00e9s<\/h3>\n
4. Minimisation des donn\u00e9es<\/h3>\n
5. Exactitude (qualit\u00e9 des donn\u00e9es)<\/h3>\n
6. Droits des personnes (acc\u00e8s, rectification, suppression, objection…)<\/h3>\n
7. Limitation de la conservation des donn\u00e9es<\/h3>\n
8. Int\u00e9grit\u00e9 et confidentialit\u00e9 (s\u00e9curit\u00e9 des donn\u00e9es)<\/h3>\n
9. Responsabilit\u00e9 (accountability<\/em>)<\/h3>\n
Les employ\u00e9s doivent conna\u00eetre les principes du RGPD<\/h2>\n