RGPD

I. Introduction

Le 20 juin 2018, la France a adopté la loi n° 2018-493 relative à la protection des données personnelles, afin de mettre en œuvre le Règlement général sur la protection des données (RGPD). Cette loi révise et consolide la loi de 1978 relative à l'informatique, aux fichiers et aux libertés.

La Commission nationale de l'informatique et des libertés (CNIL), en tant qu'autorité nationale de contrôle, est chargée de superviser, guider et faire appliquer le RGPD et ses textes d'application en France. Ainsi, la France s'est dotée d'un système de protection des données personnelles conforme aux exigences de l' Union européenne.

II. Champ d'application

Les règlements d'application du RGPD en France s'appliquent :

à tout responsable de traitement ou sous-traitant établi sur le territoire français ;

à toute organisation située hors de France offrant des biens ou des services à des personnes situées en France, ou surveillant leur comportement sur le territoire français.

Quel que soit le lieu où le traitement est effectué, dès lors qu'il concerne des données personnelles de personnes situées en France, la loi s'applique. Elle couvre les traitements automatisés ainsi que les traitements non automatisés faisant partie d'un système de classement. Les activités de nature exclusivement personnelle ou domestique n'entrent pas dans son champ d'application.

III. Principes de traitement des données

Licéité, loyauté et transparence : tout traitement doit reposer sur une base juridique claire et être mené de manière transparente.

Limitation des finalités : les données ne peuvent être utilisées qu'à des fins déterminées et légitimes.

Minimisation des données : seules les données strictement nécessaires doivent être collectées.

Exactitude : les données doivent être exactes et mises à jour régulièrement.

Limitation de conservation : les données ne doivent être conservées que pendant la durée strictement nécessaire, puis supprimées ou anonymisées.

Sécurité et confidentialité : des mesures techniques et organisationnelles appropriées doivent être mises en place pour prévenir toute violation, altération ou perte de données.

IV. Droits des personnes concernées

Conformément au RGPD et à la loi française, les personnes disposent des droits suivants :

Droit à l'information et à l'accès ;

Droit de rectification ;

Droit à l'effacement (droit à l'oubli) ;

Droit à la limitation du traitement ;

Droit à la portabilité des données ;

Droit d'opposition.

For minors under 15 years old, processing their data requires the consent of a parent or legal guardian, and information must be provided to them in clear and understandable language.

V. Processor Obligations

Processors must:

strictly follow the data controller's written instructions;

implement adequate security measures;

assist the data controller in fulfilling their obligations, particularly by responding to data subject requests;

notify the data controller without delay in case of a data breach, who must then inform the CNIL within 72 hours.

Data controllers must maintain a record of processing activities and conduct a Data Protection Impact Assessment (DPIA) in case of high risk. Certain organizations must also appoint a Data Protection Officer (DPO) and register with the CNIL.

VI. International Data Transfers

When a transfer to a country outside the EU is envisaged, the data controller must ensure an adequate level of protection. This can be done via:

an adequacy decision from the European Commission;

or the signing of Standard Contractual Clauses (SCCs).

Since the invalidation of the "Privacy Shield" on July 16, 2020, French entities must use the new Standard Contractual Clauses adopted on June 4, 2021, or any other legal mechanism.

VII. Control and Enforcement

The CNIL has extensive powers, including:

issuing warnings or formal notices;

limiting or prohibiting certain processing operations;

imposing fines of up to 20 million euros or 4% of global turnover, whichever is higher.

French law also allows individuals to set guidelines regarding the use of their data after their death. Failing this, processing must comply with current regulations. The French framework for GDPR implementation aims to guarantee individual rights, enhance corporate compliance, and promote trust in the digital environment.