Microentreprise et obligation de désigner un Délégué à la Protection des Données (DPO) au regard du RGPD

Le RGPD est une régulation européenne qui est entrée en vigueur le 25 mai 2018. Avec l’introduction du RGPD en 2018, la protection des données est devenue un enjeu majeur pour les entreprises. Face à l’augmentation de l’utilisation des informations personnelles et à la recrudescence des cyberattaques, les pays de l’Union européenne ont donc fait front commun en créant le RGPD, un texte visant à renforcer la protection des données des citoyens.

Le micro-entrepreneur face aux obligations du RGPDEn contrepartie de la disparition de nombreuses formalités auprès de la CNIL pour garantir la protection de la collecte et du traitement des données personnelles, la responsabilité du micro-entrepreneur sera renforcée. Désormais, il devra être en mesure :d’assurer en permanence une protection optimale des données collectées et traitées,de démontrer cette protection en documentant cette conformité.

Qui est concerné par le RGPD et par la nomination d’un DPO ?

Le RGPD s’applique à tout organisme public ou privé qui traite des données personnelles, dès lors qu’il est établi sur le territoire de l’Union européenne ou que son activité cible des résidents européens. Sont donc concernées par la loi RGPD, peu importe la taille ou l’activité : Les grandes entreprises, les TPE et PME Les auto-entrepreneurs et freelances Les collectivités, les administrations, les associations Les sous-traitants qui traitent de données personnelles pour le compte de leurs clients.

La désignation d’un Délégué à la Protection des Données (DPO) apparaît comme un élément clé pour assurer la conformité des entreprises et des acteurs publics. En vertu du Règlement Général sur la Protection des Données (RGPD), certaines entreprises sont tenues de nommer un Délégué à la Protection des Données (DPO). Cela inclut les organismes publics ainsi que les entreprises dont les activités principales consistent en des opérations de traitement des données exigeant un suivi régulier et systématique à grande échelle des personnes concernées. Les entreprises qui remplissent les critères précités doivent nommer un DPO.

Le DPO : missions et rôle stratégique

Le Délégué à la Protection des Données (DPO), également connu sous l’acronyme anglais DPO pour Data Protection Officer, est un acteur majeur dans la gestion des données personnelles au sein d’une entreprise. Le DPO joue un rôle clé dans la mise en conformité des entreprises avec le RGPD. Il assure une mission multiple, principalement en veillant à la bonne application des dispositions des articles 38 et 39 du règlement. Ainsi, son intervention est primordiale pour garantir le respect des droits des personnes en matière de traitement de données personnelles.

Lire aussi: Comprendre les Seuils de TVA

Conseil et information : Le DPO a une obligation légale de conseiller l’organisme qui l’a désigné ainsi que ses employés sur la manière de traiter les données personnelles conformément à la loi.
Audit et surveillance : Il procède à des audits réguliers pour s'assurer de la conformité continue avec la réglementation en vigueur.
Gestion des risques : Le DPO identifie et analyse les risques liés au traitement des données personnelles et propose des mesures correctives adaptées.
Interlocuteur avec les autorités : Il est également le point de contact entre l’organisme et l’Autorité de Protection des Données (APD), tel que la CNIL en France.
Piloter la conformité : Cartographier les différents traitements opérés par la société, contrôler le respect du RGPD et proposer une analyse d'impact relative à la protection des données.

Le DPO doit disposer des compétences spécifiques attendues pour conseiller la direction. La personne exerçant cette fonction doit avoir une connaissance approfondie des lois et des pratiques en matière de protection des données. Elle doit également avoir des compétences en gestion de projet et en communication pour sensibiliser et former le personnel sur les enjeux de la protection des données.

Quand la désignation d’un DPO est-elle obligatoire ?

La désignation d’un Délégué à la Protection des Données est obligatoire dans certains cas spécifiques, selon l’article 37 du RGPD. Fortement recommandée par la Cnil, la désignation d'un DPO est obligatoire lorsque l'un des trois critères suivants est rempli :

Lorsqu'il s'agit d'un organisme public qui effectue la collecte (à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle).
Lorsque les activités principales - du responsable de traitement comme du sous-traitant - impliquent un suivi régulier et systématique à grande échelle des personnes concernées par les opérations de traitement.
Lorsque les activités principales du responsable de traitement comme du sous-traitant impliquent un traitement à grande échelle de catégories de données sensibles ou encore de données personnelles relatives à des condamnations pénales et des infractions.

Les sous-traitants sont légalement concernés par la désignation d'un DPO. Le DPO peut être un membre du personnel ou un DPO externe. Dans tous les cas, il doit être en mesure d’exercer ses fonctions en toute indépendance et sans conflit d’intérêt.

Le micro-entrepreneur : obligations concrètes et bonnes pratiques

Le micro-entrepreneur doit tenir un registre des activités de traitement. Prévu à l’article 30 du RGPD, c’est un document de recensement et d’analyse permettant de disposer d’une vue d’ensemble de l’utilisation qui est faite des données personnelles. Il est obligatoire quelle que soit la taille de l’entreprise. Le micro-entrepreneur devra donc se soumettre à cette obligation.

Le registre est le reflet du traitement qui est fait des données personnelles. Le micro-entrepreneur devra tenir un registre des activités de traitement qui va lui permettre de documenter ce travail de collecte et de contrôle des données personnelles. Le registre des activités de traitement permet de recenser les traitements de données et d'avoir d’une vue d’ensemble des utlisations de ces données personnelles.

Le micro-entrepreneur gère des données personnelles. Vous êtes auto-entrepreneur et récoltez des données personnelles pour votre activité ? Il est temps de vous mettre en conformité avec le Règlement général sur la protection des données. Le micro-entrepreneur doit désormais être en mesure d’offrir à ses clients la maitrise des données personnelles qu’il collecte pour : établir une facture, enrichir une base de données, envoyer un bulletin d’information, une invitation à des manifestations, une offre promotionnelle, souscrire un abonnement, offrir une garantie ou un service après-vente, etc.

Le micro-entrepreneur insérera une rubrique « Protection des données », accessible et compréhensible, dans ses conditions générales de vente. Il prévoira également une note d’information dans les documents qui servent à la collecte.

Information et consentement

Le responsable du traitement doit informer toute personne dont les données sont collectées. Cette obligation s'applique que la collecte soit directe (ex : données recueillies auprès de la personne dans un formulaire) ou indirecte (ex : données récupérées auprès de partenaires commerciaux, de data brokers: titleContent ou de sources accessibles au public). L'information doit être délivrée au moment de la collecte (en cas de collecte directe) ou dans un délai raisonnable après avoir obtenu les données, sans dépasser 1 mois (en cas de collecte indirecte).

Quelles informations faut-il délivrer ? Le responsable du traitement doit transmettre les informations suivantes : Identité et coordonnées du responsable du traitement ; Coordonnées du délégué à la protection des données (DPO), le cas échéant ; Finalité poursuivie par le traitement ; Base légale justifiant le traitement ; Caractère obligatoire ou facultatif de la fourniture de données personnelles ; Destinataires des données personnelles ; Durée de conservation des données personnelles ; Droits de la personne sur ses données ; Droit de la personne d'introduire une réclamation auprès de la Cnil ; Source d’où proviennent les données personnelles, en cas de collecte indirecte ; Existence d'un transfert des données personnelles vers un pays hors de l'Union européenne, le cas échéant.

Le consentement correspond à toute manifestation de volonté par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement. Le recueil de consentement est-il toujours obligatoire ? Le recueil du consentement est obligatoire, à moins que le traitement soit justifié par l'exécution d'un contrat. De plus, le recueil de consentement est toujours obligatoire dans les cas suivants : collecte de données personnelles « sensibles » ; réutilisation des données pour d'autres finalités ; utilisation de cookies non essentiels au fonctionnement du service ; utilisation des données à des fins de prospection commerciale par voie électronique.

Pour être valable, le consentement obtenu doit remplir les 4 conditions suivantes : Le consentement doit être libre ; Le consentement doit être éclairé ; Le consentement doit être spécifique ; Le consentement doit être univoque. À noter : Le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement libre, éclairé, spécifique et univoque.

Droits des personnes

Le responsable du traitement doit garantir des droits aux personnes dont les données sont collectées : droit d'accès, droit de rectification, droit d'effacement, droit à la portabilité des données ainsi que le droit d'opposition au traitement.

Droit d'accès : Le responsable du traitement doit permettre, à la personne qui en fait la demande, d'accéder à ses données faisant l'objet d'un traitement. Le responsable a 1 mois pour répondre à compter de la date de réception de la demande.
Droit de rectification : Le responsable du traitement doit permettre, à la personne qui en fait la demande, de rectifier ses données inexactes dans les meilleurs délais.
Droit à la portabilité : la personne peut demander à recevoir ses données dans un format standard lisible par un ordinateur (CSV, XML, JSON, etc.).
Droit d'opposition : Le responsable du traitement doit permettre à la personne concernée de s'opposer à la réutilisation de ses données à des fins de sollicitations, notamment commerciales.

La Cnil recommande fortement de mettre en place une procédure interne pour répondre aux demandes qui pourraient être reçues. Par exemple, prévoir une fonctionnalité permettant à la personne concernée de télécharger ses données dans un format standard lisible par un ordinateur directement depuis son compte/espace authentifié.

Mesures techniques et organisationnelles pour sécuriser les données

Le traitement doit être sécurisé : toutes les mesures nécessaires pour garantir la sécurité, et notamment la confidentialité des données personnelles doivent être mises en place (ex : mots de passe, https, sauvegarde). Ces mesures de sécurité sont proportionnelles aux risques encourus (ex : vol ou perte de données). Sauvegardez vos données à plusieurs endroits sécurisés. Protégez vos outils de stockage par un mot de passe complexe (ordinateur, disque dur). Mettez à jour régulièrement vos logiciels d’antivirus et mots de passe. Sécurisez au maximum les comptes clients en ligne. Assurez-vous que seules les personnes autorisées peuvent avoir accès aux infos données.

Si vous subissez une violation de données et qu’elle est susceptible de porter atteinte aux droits et libertés, vous devez informer la CNIL dans les 72 heures ainsi que les personnes concernées.

Site internet, mentions légales et politique de confidentialité

Avoir un site internet vitrine ou ouvrir une boutique en ligne signifie que vous êtes concerné par le règlement général sur la protection des données ! Dès lors que votre site internet collecte des données personnelles (formulaire de contact, cookies, création de compte client, newsletter…), vous devez respecter les obligations prévues par le RGPD. Le micro-entrepreneur peut avoir un site internet dans lequel il présente son activité et son entreprise. Vous avez la possibilité de télécharger un modèle de mentions légales et de politique de confidentialité qui tient compte des dispositions du RGPD. Elle comporte des éléments généraux qui nécessitent des adaptations en fonction de son utilisation par le micro-entrepreneur.

L’UPSME se dégage de toute responsabilité à cet égard et rappelle que ce document devra faire l’objet d’une vérification et d’une validation par un conseil juridique avant toute mise en ligne. Vous avez également la possibilité de demander à l’UPSME de vous établir vos mentions légales pour votre site internet (vitrine ou marchand). Elles seront réalisées par un Conseil juridique et strictement personnelles. La forme de présentation doit tenir compte du support sur lequel est communiquée l’information. Par exemple, pour éviter des mentions trop longues au niveau d’un formulaire en ligne, le responsable du traitement peut donner un premier niveau d'information en fin de formulaire et renvoyer vers une page dédiée sur son site internet.

Le titre de la page doit être clair, par exemple : « politique de confidentialité », « page vie privée » ou « données personnelles ». Cette page fait partie des mentions obligatoires sur un site internet. À noter La Cnil met à disposition de nombreux exemples de mentions d'information, applicables selon la situation (ex : vente en ligne, prospection commerciale, vidéosurveillance sur le lieu de travail, accès aux locaux professionnels par badge).

Sanctions et risques en cas de non-conformité

Les sanctions prévues suite à la non-application du RGPD sont particulièrement élevées et trois types de sanctions peuvent être décidées: Un rappel à l’ordre ; Une injonction de mettre le traitement en conformité, y compris sous astreinte d’un montant maximal de 100 € par jour de retard ; Une amende administrative pouvant aller jusqu’à de 20 000 € dans le cadre d’une procédure simplifiée et 20 millions d’euros pour une procédure ordinaire.

Quelle sanction en l'absence d'information ? Le fait de ne pas informer la personne auprès de laquelle sont recueillies des données est puni d'une amende pénale de 1 500 € pour les entrepreneurs individuels et 7 500 € pour les sociétés. Quelle sanction en l'absence de consentement ? Lorsque le recueil de consentement est obligatoire, le traitement de données personnelles obtenues sans le consentement de la personne concernée est puni pénalement de 5 ans d'emprisonnement et 300 000 € d'amende pour les entrepreneurs individuels et 1 500 000 € pour les sociétés.

Se préparer et agir : étapes recommandées pour la micro-entreprise

Cartographie de votre situation actuelle : L’objectif est de créer un registre des traitements : il vous permet d’avoir une vue d’ensemble sur les données personnelles que vous avez récoltées sur vos prospects et clients. Ce document doit obligatoirement être réalisé avant tout traitement de données personnelles. En tant qu’auto-entrepreneur, vous pouvez un registre simplifié de RGPD.
Trier les données personnelles : Pour chaque fiche créée dans votre registre, vérifiez si les données récoltées sont vraiment nécessaires en fonction de la finalité du traitement et si vous traitez des données sensibles.
Respecter les droits des personnes : assurez-vous de respecter les droits des consommateurs concernant la consultation, la rectification et la suppression des données.
Sécuriser les données personnelles : mettre en place des sauvegardes, des mots de passe complexes, mises à jour et contrôles d’accès.
Vérifier les prestataires : assurez-vous que les solutions externes que vous utilisez respectent le RGPD (paiement en ligne, plateforme d’envoi de SMS, etc.).

En qualité de chef d'orchestre coopérant avec la Commission nationale de l'informatique et des libertés (Cnil), le "Data Protection Officer" (DPO) ou délégué à la protection des données tient un rôle central pour assurer la conformité en matière de protection des données au sein de sociétés publiques ou privées. Le DPO veille à ce que l’entreprise respecte les réglementations en matière de protection des données. Ce poste permet à l’entreprise de réduire les risques de non-conformité, d’éviter les sanctions financières et de renforcer la confiance des clients et partenaires.

2 MIN POUR COMPRENDRE LE RGPD : GALÈRE OU OPPORTUNITÉ ? | Animation Whiteboard

Formation et profil du DPO

Le souhait de devenir Délégué à la Protection des Données (DPO) s’accompagne souvent de questions sur la nécessité de suivre une formation spécifique pour exercer cette fonction. Le Règlement Général sur la Protection des Données (RGPD) ne prescrit pas de formation obligatoire pour les DPO. Bien qu’aucune formation ne soit explicitement exigée par le RGPD, il est essentiel que le DPO possède une solide base de compétences en matière de droit, d’ingénierie des données et d’informatique.

Les formations en ligne : elles offrent une introduction aux principes du RGPD et du droit de la protection des données personnelles. Les formations en présentiel : destinées aux professionnels avec une expérience dans des domaines connexes tels que le droit ou l’informatique. Il est conseillé de choisir un organisme agréé par la CNIL. La certification DPO : bien que non obligatoire, elle est recommandée pour attester de la qualité de la formation suivie.

Le DPO n’est pas seulement un expert technique, mais aussi un acteur central de la gouvernance des données. En outre, sa présence au sein d’une organisation permet de répondre aux exigences croissantes en matière de transparence, notamment vis-à-vis des utilisateurs, des partenaires commerciaux et des autorités de régulation.

balises: #Entreprise