GDPR et droits des personnes concernées

Le Règlement général sur la protection des données (GDPR) est une loi européenne relative à la protection de la vie privée, entrée en vigueur le 25 mai 2018. Elle régit la manière dont les organisations collectent, stockent, traitent et partagent les données personnelles appartenant aux résidents de l'EU, quel que soit le lieu où l'organisation elle-même est établie. Une entreprise des US qui collecte des données auprès de visiteurs européens de son site Web doit respecter GDPR. Les violations sont passibles d'amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, ce qui fait de GDPR l'une des réglementations relatives à la vie privée les plus lourdes de conséquences au monde.

GDPR introduit une terminologie précise. Les données personnelles sont toute information se rapportant à une personne physique identifiée ou identifiable (la personne concernée). Un responsable du traitement détermine les finalités et les moyens du traitement, généralement l'organisation qui collecte les données. Un sous-traitant traite les données pour le compte du responsable du traitement (fournisseurs cloud, prestataires d'analytics). Le traitement comprend toute opération effectuée sur des données personnelles : collecte, stockage, modification, transfert ou suppression. Il est essentiel de comprendre ces rôles, car GDPR impose des obligations différentes aux responsables du traitement et aux sous-traitants.

Les organisations doivent déterminer une base légale avant de traiter des données personnelles. GDPR en définit six : Consent (librement donné, spécifique, éclairé et univoque) ; Contract (nécessaire à l'exécution d'un contrat avec la personne concernée) ; obligation légale (imposée par la loi) ; intérêts vitaux (protéger la vie d'une personne) ; mission d'intérêt Public (intérêt Public ou exercice de l'autorité publique) ; et intérêts Legitimate (mis en balance avec les droits de la personne concernée). Le Consent doit satisfaire à des exigences strictes : les cases précochées ne sont pas valables.

L'article 5 de GDPR établit sept principes. Licéité, loyauté et transparence : les données doivent être traitées de manière légale et transparente. Limitation des finalités : des données collectées pour une finalité ne peuvent pas être réutilisées sans nouvelle base légale. Minimisation des données : ne collecter que ce qui est strictement nécessaire. Exactitude : tenir les données à jour. Limitation de la conservation : ne pas conserver les données plus longtemps que nécessaire. Intégrité et confidentialité : appliquer des contrôles de sécurité appropriés. Responsabilité : les organisations doivent être en mesure de démontrer leur conformité.

GDPR accorde aux personnes (personnes concernées) plusieurs droits opposables. Le droit d'accès (article 15) permet de demander une copie de toutes les données personnelles qu'une organisation détient sur elles, ainsi que des informations sur les finalités du traitement, les périodes de conservation et les destinataires tiers. Les organisations doivent répondre dans un délai d'un mois (pouvant être prolongé jusqu'à trois mois pour les demandes complexes). Ce droit est exercé au moyen d'une procédure de demande d'accès d'une personne concernée (SAR), que la plupart des organisations conformes à GDPR décrivent dans leur politique de confidentialité.

Le droit à l'effacement (« droit à l'oubli », article 17) permet de demander la suppression de ses données lorsqu'elles ne sont plus nécessaires, lorsque le Consent est retiré ou lorsque les données ont été traitées illégalement. Le droit de rectification (article 16) permet de corriger des données inexactes ou incomplètes. Aucun de ces droits n'est absolu : les données nécessaires au respect d'une obligation légale ou à la défense de droits en justice n'ont pas à être effacées. Ces droits créent d'importants défis d'architecture des données, notamment dans les systèmes comportant des bases de données répliquées ou archivées.

Le droit à la portabilité des données (article 20) permet de recevoir ses données personnelles dans un format structuré et lisible par machine (JSON, CSV) et de les transmettre à un autre responsable du traitement, ce qui facilite le changement de prestataire de services. Le droit d'opposition (article 21) permet de mettre fin à certains traitements, notamment au marketing direct (qui doit cesser immédiatement dès l'opposition) ou au traitement fondé sur des intérêts Legitimate (l'organisation devant alors démontrer des motifs impérieux pour poursuivre le traitement).

L'article 33 de GDPR impose aux organisations de notifier leur autorité de contrôle (autorité nationale chargée de la protection des données, telle que l'ICO du UK ou la BSI de l'Allemagne) dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles susceptible de présenter un risque pour les droits des personnes. Si la violation est Likely d'engendrer un risque élevé pour les personnes, les personnes concernées doivent également être informées directement et sans retard indu (article 34). Ce délai de 72 heures est nettement plus court que les délais de notification prévus par de nombreuses lois des États des US.

GDPR impose à certaines organisations de nommer un délégué à la protection des données (DPO) : autorités Public, organisations qui traitent à grande échelle des données sensibles (de santé, biométriques ou pénales), ou organisations qui pratiquent une surveillance systématique à grande échelle (publicité comportementale). Le DPO doit posséder une expertise en droit de la protection des données, être indépendant (il ne peut pas être sanctionné pour l'exercice de ses fonctions de DPO) et servir de principal interlocuteur auprès de l'autorité de contrôle. Les organisations qui ne sont pas tenues de nommer un DPO le font souvent volontairement dans une démarche de responsabilité.

GDPR restreint le transfert de données personnelles vers des pays situés en dehors de l'EU/EEA, sauf si des protections adéquates existent. Les décisions d'adéquation reconnaissent les pays offrant des niveaux de protection équivalents (Japon, Canada, UK après le Brexit, USA dans le cadre du EU-US Data Privacy Framework). En l'absence de décision d'adéquation, les organisations utilisent les clauses contractuelles types (SCC) — des modèles de contrats préapprouvés — ou les règles d'entreprise contraignantes (BCR) pour les transferts intragroupe au sein de multinationales. Les transferts internationaux de données non autorisés sont une source fréquente de mesures coercitives fondées sur GDPR.

GDPR prévoit deux niveaux d'amendes administratives. Le niveau 1 (le plus faible) peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour des violations telles que l'absence de tenue des registres, les manquements aux notifications de violation ou des accords insuffisants avec les sous-traitants. Le niveau 2 (le plus élevé) peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les violations fondamentales : traitement illégal, absence de base légale ou violation des droits des personnes concernées. Parmi les mesures coercitives notables figurent les amendes infligées à Google (50 millions d'euros), Meta (1,2 milliard d'euros) et Amazon (746 millions d'euros).

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que GDPR régit les données personnelles des résidents de l'EU et s'applique à l'échelle mondiale, avec des amendes pouvant atteindre 4 % du chiffre d'affaires mondial, que les six droits des personnes concernées comprennent l'accès, l'effacement, la rectification, la portabilité, l'opposition et la limitation, et que la notification des violations dans un délai de 72 heures aux autorités de contrôle est obligatoire pour les violations présentant un risque pour les droits des personnes. Nous allons maintenant étudier HIPAA, PCI-DSS et les exigences de conformité propres à certains secteurs.