Protection des données : Naviguer dans les droits des personnes concernées par le GDPR

Vous avez sûrement déjà entendu parler du GDPR, la loi sur la protection des données la plus solide à ce jour dans l’UE. Au niveau le plus élémentaire, le règlement définit ce qui constitue un traitement licite des données à caractère personnel (comment elles sont collectées, utilisées, protégées ou traitées en général) et accorde aux personnes dont les données à caractère personnel sont traitées certains droits, appelés « droits des personnes concernées« .

👀 Dans cet article, nous examinons quels sont ces droits et comment vous pouvez les respecter légalement en tant qu’entreprise.

Avant de plonger dans le vif du sujet, définissons ce qu’est une personne concernée. A qui fait-elle référence ?

Personne concernée À qui se réfère-t-il ?

Le terme « personne concernée » a été utilisé dans le texte du GDPR pour décrire une « personne physique identifiée ou identifiable ». Il s’agit essentiellement de la personne dont les données personnelles (c’est-à-dire l’adresse électronique) sont collectées, traitées ou stockées par une entreprise.

Les données personnelles au sens du GDPR comprennent des éléments d’information qui, lorsqu’ils sont rassemblés, peuvent conduire à l’identification d’une personne.

🔍 Lisez notre article pour en savoir plus sur ce qui est considéré comme des informations personnelles à travers les principales lois sur la vie privée.

📎 Le droit d’être informé (article 13, 14 du GDPR).

Vous devez informer les utilisateurs que leurs données sont collectées, quelles données en particulier, et pourquoi. Cela signifie également que vos avis de confidentialité doivent être concis, faciles à comprendre et aisément accessibles sur l’ensemble de votre site web/application.

📎 Le droit d’accès (article 15 du GDPR)

Les utilisateurs ont le droit d’accéder à leurs données personnelles et aux informations sur la manière dont ces données sont traitées.

📎 Le droit à la rectification (article 16 du GDPR).

Les utilisateurs ont le droit de faire rectifier leurs données personnelles si elles sont inexactes ou incomplètes.

📎 Le droit à l’effacement (article 17 du GDPR).

Lorsque les données ne sont plus pertinentes pour leur finalité initiale ou lorsque les utilisateurs ont retiré leur consentement, les utilisateurs ont le droit de demander que leurs données soient effacées.

📎 Le droit de restreindre le traitement (article 18 du GDPR).

Les utilisateurs ont le droit de restreindre le traitement de leurs données personnelles dans des cas spécifiques.

📎 Le droit à la portabilité des données (article 20 du GDPR).

Sous certaines conditions, les utilisateurs ont le droit d’obtenir (dans un format lisible par machine) et d’utiliser leurs données personnelles à leurs propres fins.

📎 Le droit d’opposition (GDPR Article 21)

Les utilisateurs ont le droit de s’opposer à certaines activités en rapport avec leurs données personnelles.

📎 Droits liés à la prise de décision automatisée et au profilage (article 22 du GDPR).

Les utilisateurs ont le droit de ne pas être soumis à une décision fondée sur un traitement automatisé ou un profilage, et qui produit un effet juridique ou un effet similaire significatif sur l’utilisateur.

🔍 Vous pouvez trouver tous les détails sur les droits ci-dessus en termes simplifiés dans notre guide GDPR ici, ou vous pouvez lire le texte officiel du GDPR ici.

Votre rôle en tant qu’entreprise concernant les droits des personnes concernées par les données

Que signifient ces droits pour votre entreprise, en pratique ?

Nomination d’un délégué à la protection des données

Un délégué à la protection des données (DPD ) est généralement désigné par une entreprise pour veiller à ce que les données personnelles soient traitées conformément aux règles applicables en matière de protection des données. Cela inclut les données personnelles :

• des employés de l’organisation ;
• des clients de l’organisation ;
• des fournisseurs de l’organisation ;
• des personnes concernées; et
• traitées par les responsables du traitement des données.

Vous devez savoir que si le GDPR s’applique à votre entreprise et si vous traitez une quantité importante de données personnelles, vous êtes légalement tenu de désigner un DPO.

En ce qui concerne les personnes concernées et les droits des personnes concernées, le DPD fait souvent office de point de contact principal et doit traiter les demandes des personnes qui souhaitent exercer leurs droits.

🔍 Nous avons compilé un guide rapide pour savoir ce qu’il faut rechercher lors du choix de votre DPO. Découvrez-le ici!

Répondre à la demande d’accès des personnes concernées par les données (DSAR)

Le dépôt d’une demande d’accès aux données par les personnes concernées est une étape que les personnes peuvent franchir pour exercer leur droit d’accès essentiel, conformément au GDPR. Les personnes concernées peuvent envoyer une demande écrite et demander les informations suivantes :

• pourquoi les informations sont-elles collectées/traitées ?
• quelles sont les catégories de données personnelles collectées/traitées ?
• The data is shared with third parties

En tant qu’entreprise, vous devez fournir gratuitement à une réponse une copie des données personnelles de l’individu.
La demande doit être satisfaite sans retard excessif et, au plus tard, dans le mois qui suit sa réception.

🔍 Apprenez-en plus sur la façon de traiter les DSAR ici.

Honor Droits des personnes concernées

Il va sans dire que vous êtes tenu de respecter les droits de la personne concernée au titre du GDPR. Vous devriez :

✅ Prendre ces droits au sérieux et mettre en place des mesures techniques et organisationnelles appropriées pour les respecter ;
✅ Superviser la formation de votre personnel ( le cas échéant) sur les questions de protection des données et le traitement des demandes des personnes concernées ;
✅ Assurez-vous que vos documents de confidentialité sont complets et à jour!

Le non-respect de ces droits peut entraîner des amendes et des atteintes à la réputation.

En savoir plus

• Les 7 principes du GDPR
• Comment se conformer au GDPR