Tout ce que vous devez savoir sur le RGPD sans jamais avoir osé le demander...

"Les entreprises entendent parler du RGDP par les obligations légales, mais aussi par leurs clients pour savoir si elles seront conformes, le 25 mai 2018" explique Valérie Boned, la secrétaire générale adjointe des Entreprises du Voyage.

Et si en lisant cette phrase vous vous demandez ce qu'est le RGPD ?

Alors cet article est fait pour vous, et nulle inquiétude, vous n'êtes pas seuls dans cette situation. Le Règlement européen sur la protection des données personnelles va entrer en vigueur, dans quelques semaines et cause déjà quelques nuits blanches aux responsables du digital dans le tourisme.

"Ce n'est pas une directive, il ne convient plus de se poser la question de savoir si nous allons être aux normes lors de sa date effective. Il faut tout simplement se mettre en conformité avec la loi" souffle Laurent Briquet, le directeur général adjoint chez SpeedMedia.

Pour les entreprises qui n'ont pas encore embrayé le pas, voici quelques réponses aux questions que vous vous posez, sur la réforme qui pourrait bien redonner confiance aux consommateurs et utilisateurs du web.

L'acronyme RGPD, pour Règlement général sur la protection des données, est apparu le 27 avril 2016, après sa promulgation au Journal Officiel.

Il remplace la directive 95/46/CE visant à établir un haut niveau de protection de la vie privée des consommateurs, et à réguler la libre circulation des données.

Une fois en vigueur, le consentement des personnes concernées par l'utilisation des données deviendra obligatoire. Ces utilisateurs ou consommateurs pourront alors accéder à leurs données, et les transmettre à d'autres entreprises.

Il conviendra de communiquer auprès des consommateurs sur la raison du traitement de la data et sa durée de conservation.

De plus, les personnes peuvent faire valoir un droit d'opposition au traitement des données par du marketing direct.

Afin de garantir, un plus grand respect de la vie privée des garanties supplémentaires seront exigées sur les informations relatives à la santé, à la race, à l'orientation sexuelle, à la religion et aux opinions politiques

Les entreprises transférant des données vers des pays qui ne sont pas approuvés par l'Union européenne seront dans l'obligation des dispositions juridiques pour effectuer ce transfert.

« Cette réforme pose la question du traitement et de la sous-traitance des données au sein des entreprises. Je m’interroge, les GAFAS vont-ils devoir se conformer à cette réforme ? » déclare Laurent Briquet, de SpeedMedia.

D’après le chapitre 2, du règlement (UE) 2016/679, la réforme s’applique aux entreprises, responsable de traitement de données, ou sous-traitant qu’ils soient basés ou non dans l’Union européenne. A partir, du moment où les sociétés proposent des offres de biens ou de services au sein de l'UE, mais aussi celles qui suivent le comportement de personnes dans l’Union, ce texte de loi est obligatoire.

Ainsi, les entreprises en dehors de la zone européenne sont concernées aux mêmes titres que celles ayant leur siège social dans les pays ayant ratifié le traité de Maastricht. Google et Facebook ont d'ores et déjà communiqué sur leur conformité.

Les entreprises de plus de 250 employés, ou celles manipulant des données à risques sur les droits et des libertés des personnes sont dans l'obligation de tenir un registre des activités de traitement.

Du tour-opérateur, à l'agence de voyages indépendante, l'ensemble du secteur sera touché.

"Le présent règlement vise à contribuer à la réalisation d'un espace de liberté, de sécurité et de justice et d'une union économique, au progrès économique et social, à la consolidation et à la convergence des économies au sein du marché intérieur, ainsi qu'au bien-être des personnes physiques" selon le document de présentation de la loi au Parlement européen.

Il a donc pour objectif de protéger les libertés et les droits fondamentaux des personnes établies dans l’Union européenne, mais pas seulement.

Alors que les scandales s'enchaînent sur l'utilisation des données et que de nombreuses personnes se demandent ce qu'il advient des informations récoltées par les applications ou les smartphones, le RGPD doit permettre aux entreprises de « redonner confiance aux usagers et clients dans les sociétés du web, selon Frédéric Hernandez de Location Vacances Express.

Nous l’attendons comme le messie. J’ai hâte qu’elle soit appliquée et surtout contrôlée, car elle est un outil essentiel pour la réputation des entreprises. »

Le règlement entrera en fonction dès le 25 mai 2018, pour l’ensemble des entreprises concernées.

Pour se conformer les sociétés doivent remplir 6 étapes.

Il est nécessaire : - de désigner un pilote des données, qui est une personne physique ou moral, déterminant les finalités et les moyens du traitement des données personnelles,

- cartographier le traitement, consiste à recenser de façon précise le parcours de la data,

- prioriser les actions à mener, concernant les obligations actuelles et à venir,

- gérer les risques inhérents au traitement des données, il convient d'établir les solutions aux possibles problèmes,

- définir des processus de protection, correspondant à une mise en place de procédures internes pour assurer la protection des données,

- il convient de prouver documents à l’appui de la conformité.

La CNIL sera chargée en France de contrôler de la conformité des entreprises.

Ses missions dans le cadre du RGPD se résument à contrôler, sensibiliser, conseiller, traiter les réclamations et enquêter.

Les conséquences pour les entreprises qui ne sont pas jugées comme conformes seront lourdes. Ainsi, selon les cas de violation grave, les amendes peuvent atteindre entre 10 et 20 millions d'euros, avec un plafond maximal fixé à 4% du chiffre d'affaires.

Avant d'en arriver à de telles sanctions, il reste quelques semaines pour se conformer. Retrouvez l'intégralité du règlement européen, en cliquant ici.

A lire aussi : RGPD : le retour de la peur du bug de l'an 2000 ?