Règlement Général pour la Protection des Données : se préparer en 6 étapes

Le 25 mai 2018, le règlement européen sera applicable. De nombreuses formalités auprès de la CNIL vont disparaître. En contrepartie, la responsabilité des organismes sera renforcée. Ils devront en effet assurer une protection optimale des données à chaque instant et être en mesure de la démontrer en documentant leur conformité.

QUELLES SANCTIONS AVEC L’APPLICATION DU RGPD ?

Les condamnations concernant les incidents liés à la protection des données personnelles ne sont pas nouvelles. En 2016 par exemple, la CNIL infligeait une amende de 100 000 euros à Google pour mauvaise application du droit à l’oubli. Plus récemment, c’est l’affaire Uber qui était médiatisée. Mais avec l’application du RGPD, le montant des sanctions est bien plus conséquent. Prenons un exemple concret pour illustrer les nouvelles sanctions prévues par le RGPD.

DES SANCTIONS… 80 FOIS PLUS ÉLEVÉES ?

Fin 2016, le groupe télécom TalkTalk était condamné à une amende record de 400 000 livres, soit environ 450 000 euros – par la CNIL britannique. Le motif ? Une faille de sécurité élémentaire permettant aux hackers de télécharger les données de plus de 156 000 clients, dont des données bancaires. Pour prononcer cette sanction, la CNIL britannique s’est appuyée sur la réglementation nationale : le Data Protection Act 1998. Sous cette législation, le plafond des sanctions est situé à 500 000 livres. Mais avec l’application du RGPD, le montant de cette amende aurait été de 59 millions de livres, soit près de 67 millions d’euros selon une étude du NCC Group. Et selon cette même étude, les sanctions prononcées en 2016 auraient été 80 fois plus élevées en moyenne si le RGPD avait été appliqué !

Avec l’application du RGPD, les failles de sécurité importantes présentées par TalkTalk auraient conduit l’entreprise à subir le plus haut niveau de sanction du RGPD soit 4% de son chiffre d’affaires.

QUEL DISPOSITIF DE SANCTIONS PRÉVU POUR LE RGPD ?

Les amendes administratives prévues par le règlement s’appliquent en deux niveaux :

• 20 millions d’euros ou 4% du chiffre d’affaires mondial
• 10 millions d’euros ou 2% du chiffre d’affaires mondial

Dans les deux cas, c’est le montant le plus élevé qui est retenu. Le niveau de sanction s’applique en fonction des articles du règlement en infraction.

Le niveau maximum s’applique aux infractions les plus graves, en lien avec le respect des droits des personnes. Par exemple, ne pas requérir le consentement suffisant du client pour traiter ses données à caractère personnel. Le niveau secondaire s’applique notamment dans le cas ou l’entreprise ne notifie pas l’organisme de contrôle d’une violation de données ou n’effectue pas d’analyse d’impact.

 À ces sanctions administratives peuvent s’ajouter des sanctions pénales. Elles sont définies par les articles 226-16 à 226-24  du Code pénal et s’échelonne jusqu’à 300 000 euros d’amende et 5 ans d’emprisonnement.

Les bonnes pratiques Lire la suite