Nouveau règlement sur la protection des données personnelles : les entrepreneurs du funéraires (pompes funèbres, thanatopracteurs, etc.) sont aussi concernés.
 |
| Me Stéphan Denoyes. |
Les données personnelles sont définies comme “toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres“ (art. 2 de la loi informatique et libertés de 1978).
Ainsi sont des données personnelles des éléments tels un nom, un numéro d’identification, une donnée de localisation, un identifiant en ligne, une adresse IP, un numéro de téléphone, une adresse électronique, une adresse postale, des habitudes de consommation, et même des copies d’examens, etc.
Leur protection constitue l’une des dimensions du droit au respect de la vie privée, et est consacrée comme un droit fondamental à part entière à l’art. 8 de la Charte des droits fondamentaux de l’Union européenne.
Qu’ils soient manuels ou informatisés, les traitements de données les plus courants en entreprise sont les fichiers de gestion des clients et des opérations commerciales, les fichiers de fidélisation et de prospection, les fichiers de gestion du personnel et des rémunérations, un trombinoscope ou annuaire d’entreprise, un fichier de gestion des fournisseurs, de gestion de la comptabilité, etc.
Le Règlement Général sur la Protection des Données Personnelles (RGPD) qui entrera en vigueur le 25 mai prochain, opère un changement de paradigme. Il supprime le principe de déclaration des fichiers auprès de la CNIL qui prévalait jusqu’à présent, par un système dit d’acountability, autrement dit de responsabilité dans lequel le responsable du traitement (la société ou l’entrepreneur individuel) doit démontrer qu’il respecte la réglementation et ses principes par la mise en œuvre de mécanismes et de procédures internes propres à permettre la protection des données à caractère personnel.
Au rang des principes relatifs aux données, figurent le :
- principe de transparence : les données doivent être traitées de manière loyale, licite et transparente ;
- principe de minimisation des données : les données traitées doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ;
- principe d’exactitude des données : les données traitées doivent être exactes et mises à jour régulièrement (rectification, voire effacement) ;
- principe de limitation de la conservation des données : les données ne peuvent être conservées que pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ;
- principe de sécurité, d’intégrité et de confidentialité des données : les données doivent être traitées de façon à garantir une sécurité appropriée desdites données au moyen de mesures techniques ou organisationnelles appropriées.
Au rang des principes relatifs aux traitements de données, figure celui de sa licéité. Celle-ci est garantie par diverses conditions alternatives :
- la personne concernée a consenti au traitement ;
- le traitement est nécessaire à l’exécution d’un contrat ou de mesures précontractuelles ;
- le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable de traitement est soumis ou à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont il est investi ;
- le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;
- le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable de traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données.
Ces principes s’appliquent également aux sous-traitants des données, comme par exemple des agences de marketing, de webmarketing…
Les entrepreneurs du funéraire, parce qu’ils interviennent dans un domaine sensible, et quelque soit leur mode d’exercice, doivent non seulement respecter les principes énoncés ci-dessus, mais également respecter les droits des personnes concernées, comme le droit d’accès, le droit d’obtenir la rectification, le droit d’obtenir l’effacement, le droit à la limitation, le droit à la portabilité ou encore le droit d’opposition.
Ils doivent mettre leurs clients, leurs fournisseurs, leurs prestataires, leurs salariés en mesure de faire respecter les droits mentionnés ci-dessus, notamment par une information adaptée dans les contrats de travail pour les salariés, ou dans les conditions générales de vente et de prestations de services et/ou sur leurs sites Internet. Le règlement leur impose de mettre en place de la procédure et des délais de réponses aux demandes des personnes dont les données sont traitées.
Au delà de ces principes, plusieurs obligations peuvent s’imposer aux entrepreneurs, selon la taille et l’activité de l’entreprise, par exemple la tenue d’un registre des traitements, la nomination d’un délégué à la protection des données personnelles (dit DPO), la réalisation d’une étude d’impact.
Aussi, il est recommandé de mettre en place dès aujourd’hui des processus permettant de se mettre en conformité avec la réglementation. À défaut, les sanctions peuvent être lourdes : jusqu’à 4 % du chiffre d’affaires, nonobstant l’impact médiatique.
Me Stéphan DENOYES
E-mail : Cette adresse e-mail est protégée contre les robots spammeurs. Vous devez activer le JavaScript pour la visualiser.
Résonance n°138 - Mars 2018
Suivez-nous sur les réseaux sociaux :