LE RGPD EN CLAIR

Entré en vigueur en 2018, le Règlement Général sur la Protection des Données (RGPD) protège les données de nos clients et prospects. Mais à quoi sert-il, qu’a-t-il changé concrètement et comment le respecter ? Pour y voir plus clair, suivez le guide !

POURQUOI UN RÈGLEMENT GÉNÉRAL SUR LA PROTECTION DES DONNÉES ?

Le 25 mai 2018 a marqué l’entrée en vigueur du Règlement Général sur la Protection des Données (RGPD) qui est le texte européen de référence sur la protection des données à caractère personnel. Il est directement applicable dans les 28 pays de l’Union Européenne.

L’objectif général du RGPD est de définir un cadre juridique harmonisé qui permette aux citoyens européens d’avoir le contrôle sur leurs données personnelles.

La philosophie générale de ce texte peut être résumée en une phrase : « L’informatique doit être une technique au service des citoyens ».

Par conséquent, toute entreprise (ou organisme public) qui opère des traitements sur des données personnelles définies par le texte doit se conformer à ses dispositions depuis le 25 mai 2018.

DONNÉES PERSONNELLES, TRAITEMENT DES DONNÉES… DE QUOI PARLE-T-ON ?

Le RGPD concerne les traitements de données personnelles.

Qu’est-ce qu’une donnée personnelle ?

Une donnée personnelle est toute information qui se rapporte à une personne physique identifiée ou identifiable.

Une personne physique identifiée ou identifiable est une personne que l’on peut identifier, directement ou indirectement, par référence à un identifiant comme le nom, un numéro d’identification, une donnée de localisation ou par rapport à un élément spécifique à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. La définition est donc très large.

Exemples de données personnelles : nom, prénom, adresse, données bancaires, données de géolocalisation, habitude de navigation sur internet, interactions sur les réseaux sociaux, soins médicaux, conversations téléphoniques…

Qu’est-ce qu’un traitement de données personnelles ?

Au sens du texte, un traitement est « toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou ensemble de données à caractère personnel telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, la modification, l’extraction, l’utilisation, la communication, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction. »

Les changements introduits par le RGPD

Le RGPD accorde de nouveaux droits aux individus sur leurs données personnelles, confirme et renforce certains droits et responsabilise plus fortement les entreprises

Le nouveau texte instaure des nouveaux droits pour les personnes concernées : le droit à l’oubli, le droit à la limitation des données à ce qui est nécessaire, le droit à la portabilité.

Les droits suivants sont confirmés : le droit à l’information, le droit d’accès, le droit de rectification, le droit d’opposition.

Le RGPD met en place « l’accountability »

C’est désormais au responsable de traitement (l’entreprise) de prouver que toutes les mesures ont été prises pour être en conformité avec le RGPD.

En France c’est la CNIL qui est chargée de veiller à l’application du RGPD sur tout le territoire. Le texte prévoit au sein de chaque entreprise la constitution d’une documentation qui répertorie les traitements, évalue leurs risques et détaille les mesures organisationnelles et techniques pour réduire ces risques.

En cas de faille dans la protection de la sécurité des données, l’entreprise doit alerter la CNIL.

Le RGPD prévoit des sanctions lourdes en cas de manquement

Les sanctions sont prises par la CNIL et peuvent atteindre jusqu’à 4 % du chiffre d’affaires annuel de l’entreprise ou 20 millions d’euros en cas de manquements aux droits des personnes.

	Nomination d’un Data Protection Officer (DPO) Le DPO a pour mission de construire, tenir à jour et animer le déploiement du programme de protection de données personnelles gérées par Solly Azar.
	Renforcement de la sécurité des données Nous avons initié une refonte complète de la politique de sécurité de toutes les données des prospects/assurés. Cette refonte renforcera la sécurisation des données personnelles que vous collectez de vos clients. Nous mettons en place avec certaines compagnies des échanges sur des espaces sécurisés pour transmettre en toute sécurité des flux contenant un volume important de données personnelles.
	Mise à jour des clauses sur les données personnelles En relation avec les assureurs, nous procédons à la mise à jour des clauses sur les données personnelles présentes sur les documents contractuels (Dispositions Générales, Dispositions Particulières, devis) et les sites web que nous exploitons.
	Limitation de la durée de conservation des données Les devis non transformés un an après leur création sont désormais supprimés. Cette limitation de la durée de conservation devra s’appliquer également aux contrats résiliés, sous réserve du respect des prescriptions légales et réglementaires.
	Contrôle renforcé des prestataires Nos prestataires présentent des garanties élevées de sécurisation des données personnelles et dans certains cas disposent de certifications (normes ISO par exemple). Nous leur avons demandé de nous fournir la documentation justifiant de leur mise en conformité au RGPD comme le prévoit le texte.

LA NOTION DE CONSENTEMENT : POINT DE VIGILANCE DANS VOTRE ACTIVITÉ

Dans le cadre de votre activité quotidienne, vous êtes amenés à recueillir des données personnelles de la part de vos prospects ou clients et à opérer des traitements sur ces données, d’où l’importance de vous assurer que vous vous conformez au RGPD.

Une attention toute particulière doit être accordée à la notion de consentement à la collecte et à l’utilisation de ces données personnelles.

Sauf exceptions (ex : recueil de données personnelles en vue de la passation d’un contrat), lors de toute collecte de données, l’individu doit accepter que ses données personnelles fassent l’objet d’un traitement.

Vous devez être en mesure de justifier du consentement obtenu et la demande de consentement doit être distincte, compréhensible et aisément accessible. Ce consentement doit d’ailleurs pouvoir être retiré à tout moment.

Ce consentement sera donc nécessaire dès que l’on sort de la finalité d’exécution du contrat, c’est-à-dire du moment que vous souhaitez recontacter le prospect ou client dans le cadre d’actions marketing (proposition d’autres types de contrats, offres de partenaires, newsletters, e-mailings…).

Ce consentement peut être obtenu par exemple au moyen d’une case à cocher qui matérialise un acte positif clair et spécifique.