Les règles à respecter lors de la collecte, du traitement et de la conservation des données sont clairement définies par la loi Informatique et Libertés. Cette loi établit l’ensemble des mesures législatives et réglementaires visant à garantir l’anonymat des informations nominatives contenues dans certaines catégories de documents, en particulier les fichiers et les enquêtes statistiques.
Pourquoi protéger les données professionnelles ?
Les informations que tout organisme ou société traitent, collectent et conservent, au cours de l’exercice de leur activité, doivent être protégées, car elles relèvent de la vie privée. Leur divulgation est susceptible de porter atteinte aux droits et libertés des personnes concernées.
Quels sont les principes de la protection des données professionnelles ?
Les principes à respecter lors de la collecte, du traitement et de la conservation de données personnelles sont clairement définis par la loi informatique et libertés. Cette législation à respecter, prévoit également un certain nombre pour les personnes dont les données professionnelles ont été recueillies.
Bon à savoir : le respect de ses principes permet d’accomplir auprès de la CNIL toutes les formalités obligatoires (Déclaration d’un fichier, désignation d’un délégué à la protection des données (DPO), changement ou modification d’une déclaration, transfert de données hors UE ou bien notification d’une violation de données personnelles…)
La CNIL, organisme de protection des données personnelles, accompagnant l’innovation tout en préservant les libertés individuelles, a établie 5 principes clé qui sont :
- La finalité : l’utilisation et le traitement des données devant s’inscrire dans une finalité bien définie et précise. Cette dernière doit être déterminée, légitime, explicite et respectée. Car elle permet de déterminer la pertinence des données personnelles recueillies et de fixer la date du fichier des données. Pour bien la définir, il convient de s’interroger sur l’utilité du fichier ainsi constitué, comme sur sa légitimité vis-à-vis des missions et des droits et libertés des personnes concernées. L’intention étant de rendre cette finalité compréhensible par tous
- La pertinence : les informations collectées doivent être pertinentes et strictement nécessaires à l’objectif poursuivi par le fichier constitué. Il s’agit ici du principe de minimisation de la collecte. Rien ne sert de collecter plus des données que ce dont il s’avère nécessaire d’avoir besoin. À noter également dans ce cadre, que certaines données bénéficient d’une protection particulière, comme c’est le cas des « données sensibles. »
- La conservation : dès lors que l’objectif poursuivi par la collecte est atteint, il est inutile de conserver des données. Elles doivent être détruites. Et une durée de conservation est définie.
- Les droits : les droits des personnes doivent être respectés. Les personnes concernées disposent de droits afin de garder la maîtrise de leurs données. (Le droit à l’information, le recueil du consentement, le droit d’opposition, d’accès ou de rectification)
- La sécurité : il est question d’ici de garantir la sécurité des données et éviter toute divulgation à des tiers non autorisés. Ces mesures pourront être déterminées en fonction des risques pesant sur ce fichier (sensibilité des données, objectif du traitement…)
Qu’en est-il du REGPD pour les entreprises ?
Le Règlement Général sur la Protection des Données (RGPD dit aussi GDPR) est entré en vigueur à la fin du mois de mai 2018. Il incite les organismes et les entreprises, collectant et gérant des données à caractère personnel, à respecter la législation en matière de protection des données. Cette obligation de conformité vise à harmoniser l’application et le respect de la loi au sein de l’Union européenne. Des nouveautés en termes de droits des personnes physiques à consolider, de renforcement des pouvoirs des autorités européennes ou l’élargissement des responsabilités pour les entreprises concernées par la législation en vigueur.
Le RGPD implique également la nomination obligatoire d’un délégué à la protection des données pour les entreprises du secteur public, pour les entreprises dont l’activité principale conduit à assurer un suivi systématique et à grande échelle des personnes (profilage), ou dont l’activité principale est attenante à des traitements à grande échelle de données sensibles (politiques, religieuses, ethniques, biométriques, sanitaires, judiciaires, etc.) ou relative à des condamnations pénales et certaines infractions.
En cas de violation de données, les entreprises doivent obligatoirement en faire la notification auprès de la personne concernée. Elle doit être faite dans les plus brefs délais lorsque cette violation est susceptible d’engendrer un risque élevé pour les droits et libertés de la personne physique.
