Fondamentaux du GDPR et du KVKK

Le GDPR (règlement général de l’EU sur la protection des données, 2018) et la KVKK de Turquie (loi n° 6698, 2016) sont les deux cadres couverts par cette leçon. La KVKK s’inspire largement de l’approche de l’EU ; leurs principes fondamentaux concordent donc étroitement.

Les deux cadres régissent le traitement des données à caractère personnel et accordent de solides droits aux particuliers, assortis de sanctions importantes.

Les deux lois définissent des rôles fondamentaux :

• Personne concernée (KVKK : personne concernée) : personne à laquelle se rapportent les données
• Responsable du traitement (KVKK : responsable des données) : décide pourquoi et comment les données sont traitées
• Sous-traitant (KVKK : sous-traitant) : traite les données pour le compte du responsable du traitement

Le responsable du traitement porte la responsabilité première, même lorsque le travail est externalisé à un sous-traitant.

L’article 5 du GDPR énonce les principes repris par la KVKK :

• Licéité, loyauté et transparence
• Limitation des finalités : utiliser les données uniquement aux fins indiquées
• Minimisation des données : collecter uniquement ce qui est nécessaire
• Exactitude
• Limitation de la conservation : ne pas conserver les données plus longtemps que nécessaire
• Intégrité et confidentialité (sécurité)
• Responsabilisation : être en mesure de démontrer sa conformité

Vous ne pouvez pas traiter des données à caractère personnel sans disposer d’une base légale. L’article 6 du GDPR en énumère six :

• Consentement
• Contrat
• Obligation légale
• Intérêts vitaux
• Mission d’intérêt public
• Intérêts légitimes

La KVKK prévoit un ensemble comparable. Le consentement n’est qu’une possibilité, et souvent pas la meilleure, car il peut être retiré à tout moment.

Lorsque vous vous fondez sur le consentement, celui-ci doit être :

• Libre
• Spécifique à une finalité
• Éclairé
• Non ambigu, exprimé par un acte positif clair

Les cases précochées, le consentement groupé et le silence ne constituent pas un consentement valide. Le retrait du consentement doit être aussi simple que son accord.

Les particuliers disposent de droits opposables :

• Accès : obtenir une copie de leurs données
• Rectification : corriger les inexactitudes
• Effacement (droit à l’oubli)
• Limitation du traitement
• Portabilité : recevoir les données dans un format lisible par machine
• Opposition, notamment au profilage

Les demandes doivent généralement recevoir une réponse dans un délai fixe (GDPR : un mois).

La responsabilisation exige une documentation. Les responsables du traitement tiennent un registre des activités de traitement (RoPA) qui décrit quelles données sont traitées, pourquoi, où elles sont transmises et combien de temps elles sont conservées.

En Turquie, les responsables du traitement dépassant certains seuils doivent s’inscrire auprès de VERBIS, le registre des responsables du traitement. Ces registres sont la première chose que demande une autorité de contrôle.

Envoyer des données à caractère personnel en dehors de l’UE/EEE (ou hors de Turquie) est restreint. Les mécanismes comprennent :

• Décisions d’adéquation (le pays destinataire offre une protection équivalente)
• Clauses contractuelles types
• Consentement explicite pour le transfert concerné

La KVKK exigeait traditionnellement l’approbation du Conseil de la KVKK ou un consentement explicite pour les transferts transfrontaliers. Vérifiez donc les règles en vigueur avant de déplacer des données à l’étranger.

Autorités chargées de faire respecter les règles :

• UE : autorités nationales de protection des données ; amendes au titre du GDPR pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial
• Turquie : le Conseil de la KVKK, qui peut infliger des amendes administratives et ordonner l’arrêt du traitement

Au-delà des amendes, les autorités de contrôle peuvent imposer des mesures correctives et rendre publiques les violations.

Certaines organisations doivent nommer un délégué à la protection des données (DPO), par exemple les autorités publiques ou celles qui effectuent une surveillance à grande échelle ou un traitement de données appartenant à des catégories particulières au titre du GDPR.

Le DPO conseille l’organisation en matière de conformité, en surveille le respect et sert de point de contact avec l’autorité de contrôle et les personnes concernées. Il doit exercer ses fonctions de manière indépendante.

Lorsqu’un responsable du traitement fait appel à un sous-traitant (un fournisseur SaaS, un hébergeur en nuage ou un sous-traitant secondaire), un accord de traitement des données (DPA) écrit est obligatoire. Il oblige le sous-traitant à :

• Traiter les données uniquement sur instructions documentées
• Garantir la confidentialité et la sécurité
• Ne faire appel à des sous-traitants secondaires qu’avec autorisation
• Apporter son aide pour les demandes des personnes concernées et la notification des violations

Choisir un fournisseur non conforme ne dégage pas le responsable du traitement de son obligation de rendre des comptes.

Vous avez étudié les notions essentielles du GDPR et de la KVKK :

• Les rôles de responsable du traitement et de sous-traitant, ainsi que leurs responsabilités
• Les principes fondamentaux, notamment la limitation des finalités et la minimisation
• Les six bases légales ; le consentement doit être libre et pouvoir être retiré
• Les droits des personnes concernées (accès, effacement, portabilité, opposition)
• Les registres RoPA/VERBIS et les transferts internationaux restreints
• Les autorités de contrôle, les lourdes amendes et le rôle du DPO

Ensuite : classer et minimiser les données que vous détenez.