10 exigences du GDPR à connaître en 2024
Le règlement général sur la protection des données (RGPD) n'est pas seulement un cadre de conformité destiné à vous aider à protéger les données personnelles - c'est la loi. Le respect des exigences du GDPR est un aspect essentiel pour assurer la sécurité de vos employés, de vos clients et de vos consommateurs. Voici 10 exigences essentielles que vous devez connaître pour rester du bon côté du GDPR en 2024.
Introduction
Le cadre actuel du GDPR est entré en vigueur au L'UE en 2018. Elle favorise la légalité, la transparence et l'équité de la collecte et du traitement des données, tout en garantissant la confidentialité pour vos clients et la responsabilité de votre organisation dans ces processus.
Selon le rapport de suivi de l'application de la loi du cabinet juridique CMS, €2 054 277 662 euros d'amendes ont été émises pour des violations du GDPR en 2023.plus que n'importe quelle autre année depuis la mise en œuvre du GDPR.
Il est essentiel de se conformer aux exigences du GDPR pour éviter ces lourdes pénalités. En outre, et sur une note plus légère, la conformité au GDPR contribue à consolider votre organisation en tant que choix digne de confiance et fiable pour les clients et les consommateurs.
Si vous avez du mal à vous mettre en conformité avec le GDPR ou si vous démarrez une entreprise, cette liste contient les exigences les plus essentielles du GDPR que vous devez connaître. Nous avons également inclus des conseils pour vous aider à démarrer.
N'oubliez pas que si vous avez besoin d'aide ou d'éclaircissements, Compleye est toujours là pour vous aider.
10 exigences essentielles du GDPR
1. Nomination du délégué à la protection des données (DPD)
Un DPD aidera à assurer la conformité, informera et guidera les employés et la direction en matière de protection des données, contribuera aux évaluations d'impact de la protection des données et restera en contact avec les organismes publics et les personnes concernées.
Les exigences du GDPR concernant les DPD sont énoncées à l'article 37. Celles-ci stipulent qu'une organisation doit désigner un DPD si elle traite des données à grande échelle ou si elle utilise ces données pour surveiller des personnes.
Pour savoir si votre organisation a besoin d'un DPD, vous devez.. :
- Tenez compte de la nature de votre organisation et du secteur dans lequel vous opérez.
- Évaluer vos activités de traitement des données
- Déterminer l'ampleur du traitement des données
- Évaluez la façon dont vous utilisez les données pour surveiller, profiler et suivre les individus.
- Vérifier auprès des organismes de réglementation locaux
- Documentez vos évaluations
- Dans certains cas, vous désignez un responsable de la protection de la vie privée au sein de votre équipe.
- Contactez Compleye pour obtenir l'aide d'un expert
2. Base légale et relevé des activités de traitement
Les exigences du GDPR, énoncées à l'article 6, stipulent que votre organisation doit avoir une raison reconnue de traiter des données à caractère personnel. Il existe six bases légales pour le traitement des données à caractère personnel :
- Consent
- Contrat
- Obligation légale
- Intérêts vitaux
- Tâche publique
- Intérêts légitimes
La base juridique dont vous disposez dépend de votre organisation et du contexte de la collecte et du traitement des données. Il se peut que vous deviez en sélectionner plusieurs.
Registre des activités de traitement
L'article 30 stipule que la base légale de votre organisation pour la collecte et le traitement des données doit être documentée dans le registre des activités de traitement (ROPA).
Votre ROPA comprend les coordonnées de votre DPD, les catégories de personnes dont vous collectez les données et le type de données que vous collectez auprès d'elles, les finalités et la base légale du traitement des données, les calendriers de conservation des données, les catégories de personnes qui reçoivent les données à caractère personnel, les enregistrements des transferts vers pays tiers et les garanties mises en place à cet effet.
3. Consentement et gestion du consentement
Vous vous souvenez que nous avons mentionné que la conformité au GDPR permet à vos clients de se sentir plus à l'aise pour partager leurs données avec vous ? Eh bien, en 2019, DMA a constaté que 62% des consommateurs britanniques se sentent plus à l'aise pour partager leurs données avec les organisations grâce au GDPR. Cela est dû en grande partie à certaines des exigences les plus importantes du GDPR qui concernent le consentement des personnes concernées.
Conformément aux articles 7 et 32, votre organisation doit obtenir le consentement de chaque personne dont vous avez l'intention de collecter et de traiter les données. Le consentement doit être :
Librement consentie - Les personnes concernées doivent avoir la possibilité de choisir si vous pouvez traiter leurs données, avec la possibilité de refuser. Le consentement doit être donné volontariserily.
Informé – Les personnes concernées doivent être informées des données que vous allez collecter, de l'usage que vous comptez en faire et de la manière dont elles peuvent retirer leur consentement. Ces informations doivent être communiquées dans un langage clair et simple.
Sspécifique - Les personnes concernées doivent être informées de vos intentions spécifiques en matière de traitement des données, en fonction de la manière dont elles interagissent avec votre organisation. Elles doivent avoir la possibilité, si possible, de consentir à différents types de traitement de données.
Sans ambiguïté - Votre organisation doit faire en sorte que les personnes concernées puissent faire leur choix le plus facilement possible. Un "oui" ou un "non" clair est préférable. N'utilisez pas d'options de refus.
Votre organisation devra documenter les personnes qui ont donné leur consentement, comment et quand elles l'ont donné, et ce à quoi elles ont consenti exactement. Si les objectifs de la collecte de données ou les intentions de traitement des données changent, le consentement doit être renouvelé.
En règle générale, les enfants de moins de 16 ans ne peuvent pas consentir à la collecte et au traitement de leurs données. Dans ce cas, vous devez demander le consentement de leurs parents ou tuteurs à l'aide d'un formulaire de consentement parental.
4. Droits des personnes concernées
Les exigences du GDPR au titre de l'article 15 stipulent que votre entreprise doit respecter les droits inhérents des personnes concernées. Ces droits sont les suivants :
Droit d'accès - Les sujets peuvent consulter les données que vous avez collectées
Droit de rectification - Les personnes concernées peuvent corriger les données erronées que vous détenez
Droit à l'effacement - Les personnes concernées peuvent faire effacer leurs données et être "oubliées" de vos systèmes de stockage de données.
Droit à la limitation du traitement - Les personnes concernées peuvent vous demander de collecter et de stocker des données mais de ne pas les traiter.
Droit à la portabilité des données - Les sujets restent propriétaires de leurs données et peuvent les utiliser comme ils le souhaitent.
Droit d'opposition - Les personnes concernées peuvent s'opposer au traitement de leurs données et retirer leur consentement.
Les personnes concernées peuvent invoquer ces droits en adressant une demande d'accès à votre DPD ou à votre responsable du traitement. Vous devez répondre aux demandes dans un délai d'un mois et indiquer clairement un délai de mise en conformité ou des raisons valables de non-conformité.
5. Minimisation des données - La protection de la vie privée dès la conception
Un principe important de la conformité au GDPR est la minimisation des données. Comme vous pouvez le deviner, cela signifie que votre organisation doit minimiser la quantité de données qu'elle collecte auprès des individus. Votre équipe d'ingénieurs peut adopter La protection de la vie privée dès la conception assurer la minimisation des données.
Vous ne devez collecter que les types de données nécessaires à vos objectifs de traitement, et vous devez être en mesure de prouver que les données que vous collectez sont pertinentes pour ces objectifs. En outre, vous devez examiner régulièrement les données que vous détenez et effacer celles dont vous n'avez plus besoin.
6. Évaluations de l'impact de la protection des données (DPIA)
La réalisation d'une DPIA est l'une des exigences les plus importantes du GDPR. Si vous avez l'intention de traiter des données d'une manière susceptible de porter atteinte aux droits et libertés des personnes concernées, vous devrez effectuer une DPIA avant de commencer à traiter les données.
Par exemple, si vous avez l'intention de surveiller systématiquement des personnes en utilisant des données sensibles telles que des informations biométriques ou des casiers judiciaires, votre responsable du traitement des données devra réaliser une AIPD. Vous devez conserver votre DPIA en interne, mais être prêt à la partager avec les organismes de réglementation en cas de demande. Pour plus d'informations sur les DPIA, voir l'article 35 du GDPR.
Les DPIA décrivent vos intentions de traitement, évaluent la nécessité du traitement, expliquent comment vous appliquerez la minimisation des données, décrivent et qualifient les risques éventuels, mettent en place des contrôles pour atténuer ces risques et documentent l'avis de votre DPD si vous en avez un.
7. Mesures de sécurité
Un rapport de RSM datant de 2020 a révélé que 52% des membres de conseils d'administration interrogés estiment que le GDPR a entraîné une augmentation des investissements dans la cybersécurité de leur organisation.. En effet, le GDPR exige également que les données soient protégées contre la destruction, la perte ou le vol.
Déterminez les mesures de sécurité que votre organisation devra mettre en place et documentez-les dans une politique de sécurité de l'information. Ces mesures de sécurité peuvent être les suivantes
- Psémantiquen
- Cryptage des données
- Pare-feu
- Contrôles d'accès
- Mécanismes d'authentification
- Formation à la confidentialité et au traitement des données
Vous devez effectuer régulièrement des audits de sécurité pour vérifier la résistance de vos systèmes de stockage et de traitement des données. Vous devrez également vous assurer que les données sont récupérables et accessibles en cas de violation. Pour en savoir plus, consultez l'article 32 du GDPR.
Transferts de données
Votre organisation peut transférer des données à un pays tiers ou à une autre organisation pour autant que des garanties appropriées soient mises en place. Vous devrez vous assurer, de préférence par contrat, que l'organisation destinataire ne porte pas atteinte aux droits des personnes concernées.
Les données transférées doivent être conservées correctement et pour une durée minimale, et aucune donnée inutile ne doit être traitée. Enfin, vous devez informer les personnes concernées des organisations avec lesquelles vous avez partagé leurs données et des raisons de ce partage.
8. Notification des violations de données
Dans le prolongement des exigences du GDPR en matière de sécurité des données, le cadre prévoit également que toute violation de données entraînant un risque pour les droits et libertés des personnes concernées doit être signalée à un organisme compétent, généralement dans un délai de 72 heures.
L'article 4 du GDPR définit une violation de données comme "une violation de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès à ces données".
Conformément à l'article 33, le formulaire de notification d'une violation de données à l'autorité de contrôle doit comprendre les éléments suivants :
- Le type de violation (destruction, altération, perte, etc.)
- Le nombre approximatif de sujets affectés
- Les catégories de données concernées
- Les conséquences, apparentes et supposées, de la violation de données
- Mesures prises pour atténuer les conséquences
- Mesures prises pour rétablir l'accès aux données
- Les coordonnées de votre DPD
- Raisons des retards éventuels dans la notification (le cas échéant)
Si vous avez déterminé que la violation de données pourrait affecter les droits et libertés des personnes concernées, informez ces personnes de la violation et des mesures d'atténuation que vous avez prises dès que possible au moyen d'un formulaire de notification de la violation de données aux personnes concernées.
9. Formation des employés
Bien que le cadre de conformité au GDPR n'exige pas explicitement la formation des employés, il est beaucoup plus facile de se conformer au GDPR si les employés sont informés.
La formation des employés au GDPR doit couvrir
- Normes actuelles en matière de protection des données
- Droits des personnes concernées
- Où et comment les données sont stockées
- Qui peut accéder aux données et quand
- Comment traiter les demandes d'information
- Procédures d'intervention en cas de violation de données
- Tout autre processus interne de mise en conformité avec le GDPR
- Comment les employés peuvent-ils contacter les contrôleurs ou un DPD ?
Une formation doit être dispensée aux nouveaux employés avant qu'ils ne commencent à travailler avec les données des personnes concernées, et des mises à jour doivent être organisées au moins une fois par an.
10. Autres documents
Outre les documents déjà mentionnés dans cet article, il existe plusieurs autres documents que votre organisation devra créer, maintenir, réviser et mettre à jour si nécessaire. Il s'agit notamment des documents suivants
- Politique de protection des données personnelles
- Politique de conservation des données
- Accord de traitement des données du fournisseur
- Avis de confidentialité
- Avis de confidentialité des employés
Bon nombre de ces documents seront communiqués aux personnes concernées, il faut donc veiller à ce qu'ils soient rédigés dans un langage clair.
Besoin d'aide pour créer une documentation conforme au GDPR ? Compleye est là pour vous conseiller et vous aider à réviser. Consultez notre offre GDPR pour plus d'informations.
En conclusion...
Le GDPR est un cadre juridique à la fois complet et complexe. Par conséquent, la conformité implique d'adhérer à une variété d'exigences tout aussi complètes et complexes.
Grâce aux simplifications des exigences les plus importantes du GDPR énumérées ci-dessus, vous pouvez commencer à comprendre le GDPR et à mettre en œuvre des mesures pour adhérer au règlement.
La conformité au GDPR demande du temps, des efforts, des ressources, de l'argent et un engagement de la part de tous les employés de votre organisation et des tiers avec lesquels vous travaillez. Mais, comparé aux sanctions auxquelles votre organisation s'expose en cas de non-conformité, le jeu en vaut vraiment la chandelle.
