GDPR

Information generale sur la protection des donnees (GDPR)

La presente information vise a expliquer, dans le contexte de l application du Reglement general sur la protection des donnees (GDPR) en France, les principes fondamentaux, le champ d application et les droits associes au traitement des donnees personnelles. Elle a pour objectif d aider les utilisateurs a comprendre les mecanismes de base de protection des donnees personnelles dans un environnement de services numeriques.

1. Definition generale du GDPR

Le GDPR est un reglement europeen applicable de maniere uniforme, ayant pour objectif d encadrer la collecte, l utilisation, le stockage et le partage des donnees personnelles, tout en renforcant le controle des personnes sur leurs propres donnees.
En etablissant des normes communes, le GDPR vise a garantir un niveau de protection relativement coherent des donnees personnelles au sein des differents Etats membres.

2. Champ d application et personnes concernees

Le champ d application du GDPR ne se limite pas aux entites situees dans l Union europeenne, mais repose principalement sur la localisation des personnes concernees :

• il s applique aux entites qui traitent des donnees personnelles dans l Union europeenne

• il s applique egalement aux entites situees hors de l Union europeenne lorsqu elles proposent des biens ou des services a des residents de l Union, ou lorsqu elles analysent ou evaluent leur comportement

• tout traitement impliquant des donnees permettant d identifier une personne physique peut relever du champ du GDPR

3. Roles cles dans le cadre du GDPR

Dans le cadre du GDPR, les activites de traitement des donnees impliquent generalement les roles suivants :

• responsable du traitement : entite qui determine les finalites et les moyens du traitement des donnees personnelles

• sous traitant : entite qui traite les donnees personnelles pour le compte du responsable du traitement

Ces roles sont distincts en termes de responsabilites, d obligations de conformite et de repartition des responsabilites juridiques.

4. Mise en oeuvre et controle en France

En France, le GDPR est directement applicable et complete par la loi francaise relative a la protection des donnees modifiee.

• l autorite de controle competente est la Commission nationale de l informatique et des libertes (CNIL)

• la CNIL est chargee de superviser l application du GDPR, de publier des lignes directrices et de prendre des mesures en cas de non conformite

• dans certaines situations, les violations de donnees peuvent necessiter une notification a l autorite de controle et aux personnes concernees

5. Violations de donnees et gestion des risques

Lorsqu une violation de donnees personnelles entraine un acces non autorise, une divulgation ou une perte susceptible d engendrer un risque pour les droits et libertes des personnes, des mesures d information et de limitation des risques peuvent etre requises.
L obligation de notification depend de la nature de l incident, de son ampleur et du niveau de risque identifie.

6. Transferts de donnees hors de l Union europeenne

Lorsque des donnees personnelles sont traitees en dehors de l Espace economique europeen, des mecanismes de protection appropries doivent etre mis en place afin d assurer un niveau de protection equivalent a celui prevu par le GDPR.
Ces mecanismes peuvent inclure l utilisation de clauses contractuelles types ou d autres garanties reconnues.

7. Exigences principales applicables aux traitements de donnees

Dans le cadre du GDPR, les activites de traitement doivent generalement respecter les principes suivants :

• prise en compte de la protection des donnees des la conception des systemes et des processus

• tenue de registres relatifs aux activites de traitement

• mise en place de mecanismes internes de reaction en cas d incident de securite

• designation de fonctions ou de responsabilites liees a la protection des donnees dans les situations a risque eleve

8. Droits des personnes concernees

Le GDPR reconnait aux personnes concernees plusieurs droits, notamment :

• droit a l information et droit d acces : obtenir des informations sur le traitement des donnees personnelles et en recevoir une copie

• droit de rectification : demander la correction de donnees inexactes ou incompletes

• droit a l effacement (droit a l oubli) : demander la suppression des donnees dans certaines conditions

• droit a la portabilite des donnees : recevoir les donnees personnelles dans un format structure et couramment utilise, et les transferer lorsque cela est techniquement possible

L exercice de ces droits depend des circonstances concretes et des limitations prevues par la reglementation applicable.

9. Nature informative et mises a jour

La presente information GDPR est fournie a titre informatif afin de presenter le cadre general de la protection des donnees personnelles.
Elle peut faire l objet de mises a jour afin de refleter l evolution des pratiques de controle, des exigences reglementaires et de l environnement technologique.