Applicable en France depuis 2018, le RGPD ou « Règlement Général sur la Protection des Données » a été adopté en 2016 au sein de l’Union Européenne. Il régit, dans le cadre de la loi Informatique et Libertés, toutes les conditions relatives à la collecte, la conservation et l’exploitation des données à caractère personnel d’autrui. Plusieurs conditions sont à respecter lors de l’établissement des mentions rgpd et elles sont obligatoires. La non-conformité au RGPD est passible de sanctions. Quelles sont ces mentions rgpd ? Comment mettre en conformité ses mentions légales avec le RGPD ?
Mentions rgpd : de quoi parle-t-on exactement ?
Les mentions rgpd ont été instaurées dans le but d’informer l’utilisateur ou le client du traitement et de l’utilisation de ses données personnelles. Toutes entreprises qui collectent, conservent et exploitent ces données à caractère personnel doivent se soumettre aux obligations RGPD. Cela concerne toutes les entreprises, les associations ainsi que tous les organismes, public ou privé, exerçant sur le territoire européen. Même si ces entités ne sont pas physiquement présentes sur le sol européen, mais qu’elles ciblent des résidents européens, elles doivent se conformer aux RGPD. Elles doivent alors bien rédiger leurs mentions rgpd dans le cadre de l’information des personnes. Pour en savoir plus, lire cet article. Les données à caractère personnel concernées peuvent se présenter de 2 manières : de façon directe ou indirecte. Dans le premier cas, il s’agit de récolter des informations telles que le nom, les prénoms et les mails des utilisateurs/clients. Dans le second cas, ce sont les renseignements tels que les pseudonymes, les numéros clients et autres qui sont collectés, traités et conservés. Les mentions rgpd s’adressent également aux personnes détentrices de ces données personnelles. Elles leur confèrent plusieurs droits leur permettant de protéger leurs informations personnelles. En cas de violation de leurs droits, ces personnes peuvent dénoncer les organismes collecteurs. Les sanctions appliquées diffèreront alors en fonction de la gravité de la violation des mentions rgpd.
Mentions rgpd et sanctions : ce qu’il faut savoir !
La non-conformité des mentions légales au RGPD est lourdement sanctionnée par la CNIL. Autrement dit, si les mentions rgpd présentent un défaut d’informations envers le public, l’organisme concerné encourt une amende pouvant atteindre jusqu’à plusieurs millions d’euros. Il s’agit ici d’une amende administrative. Or, les personnes victimes d’une collecte abusive de leurs données personnelles peuvent aussi porter plainte et demander des dommages et intérêts. Encore une fois, la sanction sera correspondante à la gravité de la violation, mais le montant peut également aller jusqu’à des millions d’euros. Il faut toutefois noter que ces sanctions pénales et administratives ne sont appliquées qu’après une période de mise en demeure. En effet, l’intervention de la CNIL est graduelle. En premier lieu, elle donne la chance aux entreprises et organismes concernés de se mettre en conformité RGPD le plus vite possible. Sans réaction ni changement dans le délai imparti, la CNIL prononce ensuite les sanctions. Il arrive néanmoins que cette première étape ne soit pas nécessaire, tout dépend de l’importance des violations constatées par la CNIL. Diverses sanctions peuvent alors être infligées :
- suspension, temporaire ou définitive, des traitements de données ;
- suspension des flux de données ;
- amende sur le chiffre d’affaires ;
- sanctions pénales.
Le défaut d’informations est la première violation des mentions rgpd. Toutefois, d’autres faits répréhensibles sont à connaître pour éviter de lourdes sanctions. Ce sont :
- le non-respect des droits des personnes ;
- le défaut de consentement du client ou de l’utilisateur ;
- les traitements illicites des données à caractère personnel du client ou de l’utilisateur ;
- la mauvaise gestion des transferts transfrontaliers des données du client ou de l’utilisateur ;
- le défaut d’étude d’impact ;
- et le défaut d’information des personnes concernées, ainsi que de la CNIL, en cas de fuite de données.
Mentions rgpd : que faut-il faire pour les mettre en conformité ?
Tous les organismes, associations et entreprises ont l’obligation d’informer leurs clients et utilisateurs de la collecte, la conservation et le traitement de leurs données personnelles. Il s’agit d’une obligation d’information, mais surtout de transparence, à leur égard. Les mentions rgpd doivent ainsi être rédigées dans cette optique. Aussi, pour être en conformité avec le RGPD, voici les différentes mentions à inclure :
- les obligations générales ;
- les mentions obligatoires ;
- et les droits des clients et utilisateurs.
Les obligations générales
Les obligations générales concernent les informations partagées aux clients et utilisateurs concernant le traitement de leurs données personnelles. Celles-ci doivent être accessibles, claires, précises et concises. Ces informations doivent également être rédigées de manière à donner une vision globale du traitement de ces données.
Les mentions obligatoires
D’autres informations doivent également être précisées dans le Contrat Général d’Utilisation ou CGU. Elles concernent surtout les modalités de collecte et de traitement des données à caractère personnel des clients et utilisateurs. Ces précisions concernent alors :
- l’identité de la personne responsable du traitement des données ainsi que ses coordonnées ;
- la base juridique relative au traitement des données ainsi que leur finalité ;
- le caractère de la collecte des données : obligatoire ou non ;
- le destinataire des données recueillies ;
- la durée de conservation de ces données ;
- les droits des clients et utilisateurs sur les données collectées, conservées et traitées ;
- et le droit des clients et utilisateurs à faire une réclamation.
La rédaction des mentions obligatoires peut être très complexe, tout dépend de la nature du registre des activités de traitement. Dans certains cas, d’autres mentions d’obligations RGPD supplémentaires peuvent être requises. Pour bien établir la base légale du document, il est recommandé de faire appel aux services d’un avocat spécialisé en protection des données personnelles.
Les droits des clients et utilisateurs
Les mentions rgpd doivent par ailleurs contenir tous les droits des clients et utilisateurs. Aussi, les organismes traitant leurs données personnelles doivent les informer de leurs droits. Ce sont :
- le droit à l’accès des données ;
- le droit de rectification ;
- le droit d’opposition ;
- le droit à l’effacement des données ;
- le droit à la portabilité des données ;
- et le droit de limitation du traitement.
Le droit à l’accès des données
Les clients et utilisateurs ont le droit d’être informés de la nature des traitements de données réalisés.
Le droit de rectification
Les clients et utilisateurs ont le droit de compléter et/ou de corriger leurs données personnelles.
Le droit d’opposition
Les clients et utilisateurs ont le droit de refuser le traitement de leurs données personnelles à tout moment.
Le droit à l’effacement des données
Les clients et utilisateurs ont le droit de demander l’effacement de leurs données à caractère personnel.
Le droit à la portabilité des données
Les clients et utilisateurs ont le droit de demander la récupération des données personnelles qu’ils ont fournies.
Le droit de limitation du traitement
Les clients et utilisateurs ont le droit de demander le gel de l’utilisation de leurs données, sous certaines conditions.
L’information de ces droits doit être suivie d’un consentement explicite du client et utilisateur concernant la collecte, la conservation et le traitement de leurs données personnelles. Ainsi, il est important de bien rédiger ses mentions obligatoires RGPD pour éviter les lourdes sanctions de la CNIL. Les organismes collecteurs de données à caractère personnel doivent donc se conformer à ces diverses règles. Plusieurs manières de rédiger les mentions rgdp sont disponibles sur internet. Il existe des modèles de mentions légales gratuits, téléchargeables et modifiables selon les activités de traitement réalisées. Toutefois, l’intervention d’un professionnel en protection des données personnelles est vivement conseillée pour asseoir une base légale infaillible du document.
Poster un Commentaire