Le RGPD s’applique à l’utilisation de cookies lorsque ceux-ci sont utilisés pour traiter des données personnelles, mais il existe également des règles plus spécifiques pour les cookies, y compris la directive « vie privée et communications électroniques » (ePrivacy).

Le stockage d’un cookie, ou l’accès à un cookie déjà stocké, dans le terminal d’un utilisateur n’est autorisé qu’à condition que l’abonné ou l’utilisateur concerné ait été correctement informé (notamment des finalités du traitement) et ait donné son consentement.

La seule exception concerne les cookies techniquement nécessaires : les organismes n’ont pas besoin de demander le consentement lors de l’utilisation de ces cookies techniquement sur leurs sites web.

Plus d’informations :

• Traiter les données personnelles de manière licite
   

Le respect du RGPD est contrôlé par les autorités nationales de protection des données. Les autorités de protection des données peuvent mener des enquêtes et imposer des sanctions si nécessaire. Ces autorités disposent d’un certain nombre d’outils, dont des amendes allant jusqu’à 20 millions d’euros, soit 4 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu), des rappels à l’ordre et des interdictions de traitement temporaires ou permanentes.

Vous trouverez les coordonnées de toutes les autorités de protection des données de l’EEE sur le site web du CEPD : Membres

Plus d’informations :

• Les autorités de protection des données & vous
   

Le contrat entre le responsable du traitement et le sous-traitant doit stipuler que ce dernier :

• traite les données personnelles uniquement sur instruction du responsable du traitement, y compris en ce qui concerne les transferts de données personnelles vers un pays situé en dehors de l’EEE ;
• veille à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• assure la sécurité du traitement ;
• ne fasse pas appel à un autre sous-traitant sans l’autorisation écrite spécifique ou générale préalable du responsable du traitement ;
• assiste le responsable du traitement pour l’exécution des obligations du responsable du traitement pour répondre aux demandes d’exercice des droits des personnes ;
• aide le responsable du traitement à sécuriser le traitement, à notifier les violations de données et à effectuer des AIPD;
• au choix du responsable du traitement, supprime ou renvoie toutes les données personnelles au responsable du traitement après la fin de la prestation des services ;
• mette à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations découlant du RGPD;
• permette et contribue aux audits, y compris ceux effectués par le responsable du traitement des données ou un autre auditeur mandaté par le responsable du traitement des données.

En outre, le sous-traitant informe immédiatement le responsable du traitement si, à son avis, des instructions enfreignent le RGPD ou d’autres dispositions de l’UE ou nationales en matière de protection des données.

 Plus d’informations :

• Responsable de traitement ou sous-traitant

La première étape de l’installation de vidéosurveillance est d’identifier le ou les finalités poursuivies. Ces derniers peuvent être variés : sécurité des locaux, aide à la prévention et à la détection du vol et d’autres délits, ou protection de la vie et de la santé des employés, en raison de la nature du travail.

Comme pour tout traitement de données personnelles, l’enregistrement des personnes doit avoir une base légale en vertu du RGPD. Le consentement peut fournir une base légale pour ce traitement de données. Cependant, il est peu probable que cela s’applique à l’utilisation de vidéosurveillance dans la plupart des cas, car il sera difficile d’obtenir un consentement libre de toutes les personnes susceptibles d’être enregistrées. La base légale la plus commune pour ce type de traitement des données  personnelles est l’intérêt légitime. Lorsque le traitement est fondé sur un intérêt légitime, vous devrez effectuer un test de « mise en balance » pour déterminer si vos intérêts légitimes l’emportent sur les droits de la personne.

Vous devrez informer les personnes qu’elles sont enregistrées. Cela peut être fait en plaçant des panneaux faciles à lire dans des endroits importants. En outre, un panneau indiquant l’objectif du système de vidéosurveillance ainsi que l’identité et les coordonnées du responsable du traitement des données devrait être placé à toutes les entrées.

Les personnes dont les images sont enregistrées par un système de vidéosurveillance devraient recevoir les renseignements suivants :

• l’identité et les coordonnées du responsable du traitement ;
• les finalités du traitement ;
• la base légale du traitement (s’il s’agit de l’intérêt légitime, les informations spécifiques sur les intérêts légitimes qui se rapportent spécifiquement à ce traitement, et sur l’entité qui poursuit chaque intérêt légitime.) ;
• les coordonnées du délégué à la protection des données (DPD), s’il y en a un ;
• les destinataires, ou catégories de destinataires, des données;
• les mesures de sécurité pour les séquences enregistrées ;
• la durée de conservation des images de vidéosurveillance ;
• l’existence de droits individuels en vertu du RGPD et le droit d’introduire une réclamation auprès de l’autorité nationale de protection des données.

Plus d’informations :

• Traiter les données personnelles de manière licite
• Respecter les droits des personnes
   

En vertu du RGPD, il existe, en principe, deux principaux moyens de transférer des données personnelles vers un pays non membre de l’EEE ou une organisation internationale. Les transferts peuvent avoir lieu sur la base d’une décision d’adéquation ou, en l’absence d’une telle décision, sur la base de garanties appropriées, y compris des droits et des voies de recours pour les personnes physiques.

Plus d’informations :

• Transferts internationaux

Une analyse d’impact sur la protection des données ou AIPD est une évaluation écrite que votre organisme devrait effectuer pour évaluer l’impact d’une opération de traitement planifiée. Il vous aide à identifier les mesures appropriées pour faire face aux risques et à démontrer votre conformité.

S’il est toujours préférable d’anticiper l’impact des opérations de traitement planifiées de votre organisme en effectuant une AIPD, il est obligatoire d’effectuer une AIPD lorsque le traitement est susceptible d’entraîner un risque élevé pour les droits et libertés des individus.

En particulier, c’est le cas lorsque le traitement envisagé implique :

• le traitement – à grande échelle – de données personnelles sensibles ou de données relatives à des condamnations pénales ; 
• l’évaluation systématique et approfondie des aspects personnels d’une personne fondée sur un traitement automatisé, y compris le profilage, et sur laquelle sont fondées les décisions qui produisent des effets juridiques à l’égard de l’individu en question ou qui affectent les individus de manière significative ;
• la surveillance systématique d’une zone accessible au public à grande échelle.

Le CEPD a élaboré des lignes directrices qui énumèrent les critères à prendre en compte pour évaluer si une AIPD est obligatoire ou non. Les autorités chargées de la protection des données ont également publié des listes d’opérations de traitement qui font l’objet d’une AIPD. De plus, plusieurs autorités ont développé des guides, des logiciels ou des outils d’autoévaluation pour vous aider dans votre évaluation (par exemple la CNIL en France).

Plus d’informations :

• Se mettre en conformité

Non, vous n’avez pas besoin d’être certifié pour devenir DPD.

Les DPD doivent toutefois être en mesure de démontrer qu’ils possèdent les qualifications requises par le RGPD, telles qu’une expertise en droit et pratiques sur la protection des données.

Plus d’informations :

• Délégué à la protection des données
   

Oui, mais vous devrez d’abord déterminer la base légale du traitement de ce type de données personnelles. Par exemple, le traitement pourrait être considéré comme un intérêt légitime pour votre organisme. Lors du traitement de données personnelles sur la base d’un intérêt légitime, il est toujours nécessaire de procéder à un test de « mise en balance » pour déterminer si vos intérêts légitimes l’emportent sur les droits des personnes, en particulier si des enfants sont impliqués.

Une autre base légale possible pour ce traitement pourrait être le consentement. En tout état de cause, les individus doivent toujours être informés à l’avance que l’événement est photographié ou filmé.

Plus d’informations :

• Traiter les données personnelles de manière licite

Tout organisme, quelle que soit sa taille ou son secteur, établi dans l’Espace économique européen (EEE) ou offrant des produits ou des services à des particuliers dans l’EEE, traitant des données personnelles, de manière automatisée ou non, doit se conformer au RGPD. Même si le RGPD concerne principalement le traitement automatisé de données personnelles, les opérations de traitement effectuées manuellement seront également soumises au RGPD à partir du moment où les fichiers papier sont organisés de manière systématique, par exemple par ordre alphabétique dans un classeur. 

Des exemples d’opérations de traitement comprennent la collecte, l’enregistrement, l’organisation, l’utilisation, la modification, le stockage, la divulgation, la modification et l’effacement de données personnelles.

Néanmoins, les règles applicables du RGPD dépendent de la nature, du contexte, des finalités et des risques des opérations de traitement effectuées. Pour les PME dont l’activité principale n’est pas le traitement de données personnelles, les obligations peuvent être moins strictes que pour une grande entreprise.

Plus d’informations :

• Les bases de la protection des données
   

Le RGPD donne aux particuliers le contrôle du traitement de leurs données personnelles. La transparence est donc essentielle. Cela signifie que vous devez informer les personnes dont vous traitez les données concernant sur vos opérations de traitement et les finalités poursuivies. En d’autres termes, vous devez expliquer qui traite leurs données, mais aussi comment et pourquoi. Ce n’est que si l’utilisation des données personnelles est « transparente » pour les personnes concernées qu’elles peuvent évaluer les risques éventuels et prendre des décisions concernant leurs données personnelles.
En vertu du RGPD, vous êtes tenu de partager les informations suivantes avec des particuliers :

• l’identité et les coordonnées du responsable du traitement ;
• les finalités du traitement ;
• la base légale du traitement (si l’intérêt légitime, les informations spécifiques sur quels intérêts légitimes se rapportent au traitement spécifique et sur l’entité qui poursuit chaque intérêt légitime).
• les coordonnées du responsable du traitement ;
• les coordonnées du DPD (s’il existe) ;
• les destinataires ou catégories de destinataires des données ;
• les informations sur les transferts de données personnelles en dehors de l’Espace économique européen (EEE) (dans ce cas : l’existence ou non d’une décision d’adéquation ou d’une référence aux garanties appropriées et la manière dont ces informations peuvent être mises à la disposition des personnes concernées ;
• les catégories de données personnelles traitées, lorsque les données ne sont pas obtenues de la personne concernée.

En outre, le RGPD exige que votre organisme fournisse les informations suivantes pour assurer un traitement équitable et transparent :

• la durée de conservation ou, lorsque cela n’est pas possible, les critères utilisés pour déterminer cette durée ;
• le droit de demander l’accès, l’effacement, la rectification, la restriction, l’opposition et la portabilité des données personnelles;
• le droit d’introduire une réclamation auprès d’une autorité de protection des données ;
• si la base légale du traitement est le consentement : le droit de retirer son consentement à tout moment ;
• dans le cas d’une prise de décision automatisée, des informations pertinentes sur la logique sous-jacente et les conséquences prévues du traitement pour la personne concernée ;
• la source des données personnelles (si vous ne les recevez pas directement de la part de la personne concernée) ;
• si la personne est tenue de fournir les données personnelles (par la loi ou pour former ou exécuter un contrat), ainsi que les conséquences du refus de fournir les données.

Plus d’informations :

• Respecter les droits des individus