Après plusieurs années de discussion, le Règlement (UE) 2016/679 « relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données » a été adopté le 14 avril 2016, puis publié au Journal Officiel de l’Union Européenne le 4 mai 2016. Le nouveau texte est entré en vigueur vingt jours après sa publication, soit le 24 mai 2016, mais ne sera applicable qu’à compter du 25 mai 2018 ; il remplacera la directive 95/46 et sera d’application directe dans l’ensemble des Etats Membres de l’Union Européenne.
– L’augmentation du plafond des sanctions financière à 4 % du chiffre d’affaire global annuel ;
– L’obligation de notifier certaines failles de sécurité à l’autorité de régulation compétente ;
– L’obligation de mener, dans certains cas, des études d’impact ;
– L’obligation de respecter les principes de protection de la vie privée dès le stade de la conception de nouveaux produits et services (privacy by design) et par défaut (privacy by default) ;
– Le renforcement des conditions d’obtention du consentement des personnes concernées, qui devra être explicite et positif.
– L’instauration d’obligations pesant directement sur les sous-traitants ;
– L’application des règles européennes aux traitements effectués depuis un pays tiers dans le cadre d’une offre de produits ou services à des citoyens européens, ou dans le cadre du suivi d’un citoyen européen ;
– Le recours à une unique autorité de protection comme interlocuteur au niveau européen, selon la localisation de l’établissement principal ou unique du responsable de traitement ;
– L’abandon des obligations déclaratives auprès des autorités de contrôle préalablement à la mise en place des traitements ;
– La désignation obligatoire d’un agent de protection des données lorsque les entreprises gèrent des quantités importantes de données sensibles ou surveillent le comportement de consommateurs ;
– L’instauration ou la consécration de nouveaux droits pour les personnes concernées (droit à la portabilité des données, droit à l’oubli).
Les responsables de traitements et leurs sous-traitants disposent donc d’un délai de deux ans pour assurer la mise en conformité avec ces nouvelles dispositions. Les entreprises devront également mettre à profit ce délai pour procéder à un nettoyage et à une remise à plat de leurs politiques et pratiques en matière de traitement de données personnelles.
Sylvain NAILLAT