Règlement Général pour la Protection des Données (RGPD)

Sur le plan territorial, le RGPD est applicable

• à tous les traitements réalisés par des personnes physiques ou des entités ayant un établissement (agence, succursale, filiale, etc.) sur le territoire de l’Union européenne ;
• à ceux portant sur les données personnelles des résidents européens¹.

Afin de faciliter l’audit en question, une liste des traitements les plus courants au sein d’une entité est annexée au présent article.

1. Article 3 du RGPD

Existe-t-il des exemptions à l’application du RGPD ?

Oui, même si les exemptions prévues par le RGPD¹ ne présentent pas véritablement d’intérêt pour les adhérents FFB :

• traitements effectués dans le cadre d’une activité ne relevant pas du champ d’application du droit de l’Union européenne ;
• traitements effectués par les États membres dans le cadre d’activités relatives à la politique étrangère et de sécurité commune de l’Union européenne ;
• traitements réalisés par une personne physique dans le cadre d’une activité strictement personnelle ou domestique ;
• traitements effectués par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales).

Plus intéressant, le préambule du RGPD² précise que les traitements de données personnelles rendues anonymes de façon irréversible n’entrent pas non plus dans le champ d’application du texte. Cette exemption ne bénéficie cependant pas aux données simplement pseudonymisées, même si le règlement souligne que cette pratique doit être encouragée afin de réduire les risques d’atteintes aux droits et libertés des personnes.

Enfin, le RGPD ne s’applique pas aux traitements des données à caractère personnel des personnes décédées³, même si le droit français permet aux personnes concernées de donner des directives sur le sort de leurs données personnelles après leur mort⁴ (décret d’application pas encore paru).

1. Article 2 du RGPD.
2. Considérant 26 du préambule du RGPD.
3. Considérant 27 du préambule du RGPD.
4. Article 40-1 de la loi informatique et libertés du 6 janvier 1978.

Ce principe implique l’obligation pour chaque adhérent de la FFB (responsables de traitement) de mettre en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer -et pouvoir démontrer - que le traitement est effectué dans les règles :

1. Mise en place de règles, d’outils et de bonnes pratiques pour garantir à tout instant le respect du RGPD et instauration d’audits réguliers pour en assurer l’efficacité (protection des données dès la conception et protection des données par défaut).
2. Tenue d’un registre des traitements.
3. Réalisation d’analyses d’impact pour les traitements les plus sensibles.
4. Respect de la procédure applicable en cas de faille de sécurité.