Spécialiste de la conformité aux lois sur la confidentialité en marketing

Afin de traiter les données personnelles, les organisations doivent disposer d’une base légale pour traiter les données, par exemple pour remplir un accord avec la personne concernée ou en obtenant le consentement d’une personne concernée. Dans la mesure où le consentement est la seule base légale, ce consentement doit être librement donné, spécifique, éclairé et sans ambiguïté. En d’autres termes, les organisations doivent donner aux personnes concernées un véritable choix d’autoriser ou non le traitement de leurs données, et les personnes concernées doivent donner leur accord via une déclaration claire ou une action positive. Exiger des personnes concernées qu’elles donnent un large consentement au traitement de leurs données personnelles lorsqu’elles s’inscrivent pour utiliser un service peut ne pas constituer un consentement librement donné au-delà du traitement qui est nécessaire pour fournir le service. De plus, les organisations doivent être en mesure de prouver qu’elles ont obtenu un consentement valide.

La législation européenne précédente réglementait directement principalement les contrôleurs de données; cependant, le RGPD impose de nombreuses obligations de conformité directes aux sous-traitants. Cela inclut les exigences selon lesquelles les processeurs ne traitent les données personnelles que conformément aux instructions du contrôleur, ne partagent pas de données avec d’autres fournisseurs sans le consentement du contrôleur et mettent en œuvre des mesures de sécurité appropriées (dont nous parlerons plus en détail dans l’unité suivante). En outre, la loi impose plusieurs autres obligations de conformité aux contrôleurs de données et aux processeurs de données pour mettre en œuvre des politiques appropriées, évaluer l’impact sur la vie privée des modifications apportées aux pratiques commerciales et conserver des enregistrements détaillés des activités liées aux données.

Les responsables du traitement doivent signaler toute violation de données à leur autorité de protection des données dès que possible et au plus tard 72 heures après avoir pris connaissance de la violation, sauf si la violation est peu susceptible d’entraîner un préjudice pour les personnes concernées. S’il existe un risque élevé de préjudice, les responsables du traitement doivent signaler les violations de données aux personnes concernées dès que possible. Les processeurs de données doivent également informer les contrôleurs de données des violations de données dès que possible.

Toute organisation qui traite régulièrement des données personnelles sensibles à grande échelle ou qui est impliquée dans un contrôle régulier et systématique des personnes concernées doit nommer un délégué à la protection des données pour s’assurer que l’organisation se conforme à la loi sur la protection de la vie privée.

En vertu de la législation européenne précédente, les autorités de protection des données en Europe avaient une capacité limitée à punir les entreprises qui violaient la loi sur la protection de la vie privée. En vertu du RGPD, les autorités peuvent infliger des amendes aux entreprises jusqu’à concurrence de 20millions d’euros ou de 4% du chiffre d’affaires mondial annuel d’une entreprise, en fonction de la gravité de la violation et des dommages subis.

Les responsables du traitement doivent avoir des accords écrits avec les sous-traitants garantissant que les sous-traitants n’agissent que conformément aux instructions du responsable du traitement, mettent en œuvre des mesures de sécurité appropriées pour protéger les données, assistent le responsable du traitement dans ses obligations de conformité, restituent ou détruisent les données personnelles à la fin de la relation, et se conformer aux dispositions du RGPD applicables aux sous-traitants.

Le RGPD impose certaines restrictions au traitement automatisé des données personnelles pour évaluer une personne concernée, ou « profilage ». Cela comprend la surveillance ou le suivi des personnes concernées pour analyser ou prédire les performances au travail, la situation économique, la santé, le comportement, les préférences ou les attitudes. Les processus automatisés qui peuvent avoir un impact significatif sur un individu, comme le refus d’un emploi ou une demande de crédit, sont considérés comme à haut risque et ne sont autorisés que dans des cas limités.

Le RGPD accorde aux personnes concernées un large éventail de droits concernant leurs données personnelles. Les personnes concernées peuvent demander que les contrôleurs de données leur donnent accès à toutes les données personnelles que le contrôleur conserve à leur sujet, et elles peuvent demander que les données soient corrigées, supprimées, gelées ou rendues portables (par exemple, téléchargées). De plus, ils peuvent s’opposer à certains traitements et révoquer le consentement préalablement donné. Nous parlerons davantage de ces droits dans l’unité suivante.

Le RGPD fournit un point central d’application pour les organisations ayant des opérations dans plusieurs États membres de l’UE en exigeant de ces organisations qu’elles travaillent avec une autorité de surveillance principale pour les problèmes transfrontaliers de protection des données.