Contributions

Paroles d'experts

Les conséquences de la réforme de la protection des données personnelles pour les entreprises

Etienne Papin - Avocat associé du cabinet Féral-Schuhl / Sainte-Marie

1978, 1995, 2004 et 2012 resteront des dates fortes dans la protection des données. La réforme en cours simplifiera peut-être la tâche quotidienne des DSI mais ils seront davantage responsables, avec plus d'obligations, et devront tenir compte d'une sorte de mutualisation européenne.

La réglementation en matière de traitement de données personnel va connaître prochainement une évolution majeure. La France a été le premier pays à se doter d'une législation en la matière, par la loi du 6 janvier 1978, Informatique et Libertés. Cette loi fut profondément modifiée en 2004 pour intégrer dans notre droit, la première réglementation européenne en la matière : la directive du 24 octobre 1995. Cette directive, qui avait pour objectif d'harmoniser le droit des Etats membres de l'Union européenne, a finalement abouti à une grande disparité dans les législations nationales.

La Commission européenne en a fait le constat. Elle a donc décidé d'adopter un nouveau cadre juridique par la voie, non plus d'une directive, mais d'un règlement. Le règlement est d'application immédiate dans tous les Etats membres, sans qu'il soit nécessaire d'adopter une loi nationale de transposition. Il est donc sans risque de disparité législative entre les Etats membres.

La Commission a divulgué récemment son projet de règlement. Le règlement définitif ne sera pas adopté avant de nombreux mois mais les entreprises doivent d'ores et déjà se préparer à l'arrivée de ce nouveau cadre juridique. Un certain nombre de dispositions concerne directement les directions informatiques des entreprises.

Les principes fondamentaux conservés

Sur le plan des règles fondamentales en matière de traitement des données personnelles, le projet de règlement consolide des principes maintenant bien connus : le traitement doit répondre à un certain nombre de caractéristiques et les personnes disposent de droits à l'encontre du responsable du traitement.

Ainsi, les données personnelles doivent être collectées de manière licite, loyale et transparente pour des finalités déterminées, explicites et légitimes. Les données collectées doivent également être adéquates, pertinentes et limitées au minimum nécessaire au regard des finalités pour lesquelles elles sont collectées. Le projet de règlement insiste également sur la nécessité de tenir à jour les données et de prendre toutes les mesures « raisonnables » pour que les données inexactes soient effacées ou rectifiées sans délai.

Sauf exception, les personnes concernées doivent consentir au traitement de leurs données, étant précisé qu'il appartiendra au responsable du traitement de conserver la preuve de ce consentement. Les intéressés conservent leurs droits d'accès, d'opposition, de rectification et de suppression des données les concernant.

L'article 17 du projet de règlement consacre un nouveau droit à l'oubli numérique. Toute personne qui aura rendu publiques des données personnelles d'un tiers, notamment sur internet, devra les supprimer à la demande de l'intéressé. Elle devra également informer toute autre personne ayant publié ces données de la demande de la personne concernée d'effacer tout lien vers ces données.

Quelques simplifications pour les entreprises

. Web-profils.com, la place de marché du conseil et de l'ingénierie