Protégez vos données et préparez-vous à la réglementation européenne sur la protection générale des données

12 septembre 2016 par KRIS VANSTEENWEGEN dans Cyber Security, 0 commentaire(s)

APERCU

La nouvelle Réglementation européenne sur la protection des données, dénommée GDPR (General Data Protection Regulation), peut avoir une incidence significative quant à la manipulation des données personnelles. Non seulement il sera de la responsabilité de votre entreprise de garantir la conformité à cette réglementation quant à la manipulation et à la protection des données personnelles, mais celle-ci pourra se voir pénalisée en cas de non-conformité et sera responsable de tous dommages résultant de la violation de ces données.

NRB apporte son savoir-faire concernant la norme GDPR, ayant développé une approche modulaire, soutenue par un ensemble de services permettant de vous orienter, à votre propre rythme, vers une conformité à la norme GDPR, en tenant compte de la maturité de votre entreprise en matière de sécurité et de vos moyens budgétaires.

À PROPOS DE LA GDPR

La Règlementation sur la protection générale des données a pour objectif d'harmoniser, dans toute l'UE, les réglementations sur la protection des données et de renforcer et d'unifier cette protection des données. Elle concerne la sécurité des données de tous les citoyens de l'UE et de tous les particuliers au sein de l'UE, mais réglemente également l'exportation des données personnelles en-dehors de l'UE. Les objectifs principaux de la Commission quant à la GDPR sont de rendre aux citoyens le contrôle de leurs données personnelles et de simplifier l'environnement réglementaire pour les entreprises internationales, en unifiant la réglementation au sein de l'UE.

Cette réglementation a été adoptée le 17 avril 2016. Après une période de transition de deux ans, elle entrera en application le 25 mai 2018 et remplacera la Directive actuelle de protection des données 95/46/EC de 1995. Contrairement à cette Directive, elle ne requiert pas qu'une législation d'habilitation soit passée par les gouvernements.

POURQUOI DOIS-JE ME PRÉPARER À CETTE NOUVELLE RÉGLEMENTATION ?

La GDPR remplacera toutes les lois nationales actuelles sur la protection des données de l'UE. Veuillez trouver ci-après un aperçu des principaux changements prévus dont les entreprises devront avoir connaissance et auxquels elles devront s'adapter :

Portée territoriale élargie:

La GDPR s'adresse aux entreprises et à leurs sous-traitants hors de l'UE. En pratique, cela signifie que’une société hors de l'UE qui cible des clients dans l'UE sera soumise à la GDPR.

Responsabilisation et confidentialité dès la phase de création:

La GDPR oblige les organisations à une entière responsabilisation dans la démonstration de la conformité. Ceci comprend de leur demander de documenter leur conformité, d'effectuer des évaluations de l'impact de la protection des données dans le cas de traitement risqué des données et de mettre en œuvre une protection des données dès la conception, et par défaut, dans leurs processus opérationnels.

Consentement:

Le consentement de la personne concernée de traiter ses données personnelles doit être accordé librement, et pour les données sensibles, explicitement, soit par une déclaration écrite, soit par des actes affirmatifs clairs démontrant son accord concernant le traitement. Le consentement peut être retiré à tout moment. Il est demandé à l'entreprise d'être en mesure de démontrer qu'elle a accordé son consentement.

Notification sur la violation des données:

Les entreprises doivent notifier les violations de données aux autorités chargées de la confidentialité des données. Elles doivent le faire sans délais et, si possible, dans les 72 heures après en avoir pris connaissance. Si ce délai n'est pas respecté, une motivation circonstanciée doit être fournie. Lorsque ses données ont été compromises, l'entreprise doit notifier, sans délai, quels types de données ont été affectés.

Rôle des sous-traitants:

L'un des principaux changements de la GDPR est que les sous-traitants ont des obligations directes. Cela inclut la mise en œuvre de mesures techniques et d'organisation, ainsi que la notification, sans délai, par votre organisation, des violations de données.

Sanctions:

En cas de violation, la GDPR prévoit des sanctions, imposant, en cas d'infraction, des amendes pouvant aller jusqu'à 4 % du chiffre d'affaires mondial annuel, en cas de violation des données, et jusqu'à 2 % du chiffre d'affaires mondial annuel en cas de non-conformité.

Le Délégué à la protection des données (Data Protection Officer - DPO):

Dans certaines circonstances, les entreprises ou les sous-traitants doivent désigner un Délégué à la protection des données (DPO). Le DPO doit posséder suffisamment d'expertise. Le DPO peut être employé ou travailler sous contrat.

Le droit à l'oubli:

Les particuliers peuvent demander que, sans retard indu, leurs données personnelles soient effacées par l'entreprise. Un excellent exemple est notamment lorsqu'ils retirent leur consentement et qu'aucune autre base légale ne s'applique pour le traitement.

GDPR