Loi Informatique et Libertés

A titre d’exemple, la loi Informatique et Liberté prévoyait que « le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès » (article 34 loi Informatique et Libertés).

Désormais, les articles 57 et suivants de la Loi Informatique et Libertés ainsi que les articles 32 et suivants du RGPD prévoient la mise en œuvre de mesures techniques et organisationnelles au sein de l’organisme afin de garantir la sécurité du traitement de données à caractère personnel effectué.

La sécurité physique des données à caractère personnel mais également numérique doit être assurée par le responsable de traitement. Des mesures de pseudonymisation, de chiffrement des données, de confidentialité ou autres doivent être mises en œuvre.

Toute violation de données doit être notifiée à la CNIL dans un délai 72 heures ainsi qu’à la personne concernée si cette violation a engendré ou est susceptible d’engendrer un risque élevé pour ses droits et libertés.

De manière générale, une analyse d’impact devra être effectuée avant la mise en œuvre d’un traitement de données à caractère personnel lorsque celui-ci est susceptible de présenter un risque élevé pour les droits et libertés des personnes notamment par le recours à de nouvelles technologies et compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

La loi informatique et libertés du 6 janvier 1978 a créé la fonction de Correspondant Informatique et Libertés (CIL Informatique et Liberté), véritable intermédiaire entre les organismes et la CNIL. Le Correspondant Informatique et Libertés permettait au responsable de traitement d’être dispensé de déclaration d’un traitement de données à caractère personnel auprès de la CNIL. Lorsqu’une entreprise comptait plus de cinquante salariés, la désignation d’un Correspondant informatique et Liberté interne était obligatoire.

Désormais, avec l’entrée en vigueur du RGPD, la fonction de délégué à la protection des données (DPD) est venue remplacer l’ancien Correspondant à la loi Informatique et Liberte. La désignation d’un DPO est dans certains cas obligatoire et constitue en elle-même l’une des étapes de la mise en conformité d’une entreprise au RGPD.

Aujourd’hui, la preuve de la conformité d’un organisme à la règlementation relative aux données personnelles repose sur le principe d’Accountability. Une plus grande responsabilité incombe aux entreprises qui doivent mettre en place des processus internes démontrant leur respect à la législation. Le DPO sera la personne chargée de veiller et d’assurer cette mise en conformité. Pour cela il est tenu de mettre à jour ses connaissances et suivre une formation Informatique et Libertés. Il assurera un contrôle du respect de la règlementation, informera, conseillera les salariés et le responsable de traitement, sera le point de contact de la CNIL le cas échéant etc.

Au sein de l’entreprise, il pourra également veiller à la rédaction d’une charte Informatique et Libertés encadrant l’utilisation des outils informatiques par les salariés.

Selon l’article 83 du RGPD, la violation par le responsable de traitement des dispositions relatives à la désignation, aux fonctions et aux missions du délégué à la protection des données est sanctionnée d’une amende administrative pouvant s'élever jusqu'à 10 000 000 euros ou, dans le cas d'une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent.