RGPD

Le 25 mai 2018, le RGPD est entré en vigueur. L’acronyme RGPD signifie « Règlement Général sur la Protection des Données ». Il s’agit d’un règlement européen visant à protéger la vie privée des personnes en renforçant les règles relatives au traitement des données à caractère personnel (Règlement UE 2016/679 du 27-04-2016).

Le RGPD régit la manière dont les données à caractère personnel doivent être traitées. Les données à caractère personnel sont toutes les informations pouvant conduire à l’identification d’une personne déterminée. Un nom, une adresse, une date de naissance ou un numéro de registre national sont des exemples évidents de données personnelles. Mais une adresse e-mail, un identifiant, une photo, une plaque d’immatriculation ou l’adresse IP d’un ordinateur sont également des données personnelles.

Le traitement d’une donnée à caractère personnel signifie « qu’une action est effectuée sur cette donnée et qu’elle est utilisée pour une raison déterminée ». Le simple fait de prendre connaissance d’une donnée personnelle ne constitue pas encore un traitement. En revanche, dès qu’une donnée est enregistrée dans un fichier numérique ou papier, ou utilisée dans une communication, il est question de traitement.

Le règlement européen définit le terme « traitement » par la liste d’opérations suivante : « collecte, enregistrement, organisation, structuration, conservation, adaptation ou modification, extraction, consultation, utilisation, communication par transmission, diffusion ou toute autre forme de mise à disposition, rapprochement ou interconnexion, limitation, effacement ou destruction des données ».

Le RGPD s’applique uniquement aux personnes physiques, et non aux personnes morales. Une personne physique est un être humain. Les personnes morales telles qu’une SPRL ou une SA ne relèvent pas du champ d’application du RGPD.

Depuis le 25-05-2018, le traitement des données à caractère personnel doit être conforme aux règles du RGPD. Celui-ci énonce plusieurs principes auxquels tout traitement doit satisfaire :

• le traitement doit être licite, transparent et effectué de manière loyale ;

• il doit être réalisé pour une finalité déterminée ;

• il convient de respecter le principe de « minimisation des données », c’est-à-dire utiliser le moins de données possible pour atteindre un objectif ;

• les données traitées doivent être exactes et à jour ;

• la conservation des données doit être limitée à la durée nécessaire à la réalisation de l’objectif ;

• les personnes chargées du traitement doivent traiter les données de manière intègre et confidentielle.

En outre, il convient de viser le niveau de protection le plus élevé possible. À cette fin, des mesures organisationnelles et techniques doivent être mises en place, en tenant compte de l’état actuel de la technologie.

Certaines entreprises sont tenues de créer et de tenir un registre des activités de traitement : il s’agit d’une description de tous les processus internes impliquant le traitement de données personnelles.

Dans certains cas, un « Data Protection Officer » (DPO) doit être désigné. Il s’agit de la personne ou de l’entité, interne ou externe, chargée de veiller au respect du RGPD au sein d’une entreprise ou organisation.

Le traitement des données peut être confié à un partenaire externe, par exemple lorsqu’une entreprise externalise son administration salariale à un secrétariat social. Ce dernier est alors considéré comme le « sous-traitant », qui accède à un groupe déterminé de données personnelles pour le compte et sous la responsabilité finale de l’entreprise (le « responsable du traitement »).

Le RGPD impose également de réfléchir de manière proactive aux conséquences des changements organisationnels et techniques sur la protection de la vie privée. En cas de modifications importantes, le DPO devra réaliser une analyse d’impact relative à la protection des données.

Le RGPD accorde plusieurs droits aux personnes dont les données sont traitées. Certains de ces droits existaient déjà en Belgique, comme le droit d’accès aux données traitées par une entreprise ou organisation, ou le droit de rectification lorsque ces données sont inexactes.

Le RGPD introduit également de nouveaux droits. Une personne a désormais le droit de demander l’arrêt d’un traitement ou l’effacement de ses données (« droit à l’oubli »). Il prévoit aussi la portabilité des données entre responsables de traitement, par exemple en cas de changement d’employeur.

Toute personne estimant que ses droits ont été violés peut, éventuellement après avoir contacté le responsable du traitement, introduire une plainte auprès de l’Autorité de protection des données (site web – téléphone 02-274.48.00 – commission@privacycommission.be ).

L’Autorité de protection des données (nouveau nom de la Commission de la vie privée) dispose également de pouvoirs élargis pour contrôler le respect du RGPD et imposer des sanctions en cas d’infraction.

En tant que partenaire payroll pour les entreprises, nous traitons quotidiennement de grandes quantités de données personnelles concernant des candidats, intérimaires, employés, clients et fournisseurs.

Nous accordons une grande importance à la confidentialité des données, et avec l’entrée en vigueur du RGPD, nous avons pris des mesures supplémentaires afin d’assurer le niveau de sécurité le plus élevé possible pour les données qui nous sont confiées. La manière dont nous appliquons le RGPD est décrite dans notre déclaration de confidentialité.

Si vous êtes une entreprise cliente et souhaitez plus d’informations, vous pouvez consulter nos conditions particulières relatives au RGPD.

Vous pouvez contacter le DPO de TurboPayroll à l’adresse suivante : dpo@turbopayroll.be.