COMMENT FAIT-ON POUR APPLIQUER LE RÈGLEMENT GÉNÉRAL SUR LA PROTECTION DES DONNÉES (RGPD)?

Le nouveau règlement en matière de protection des données personnelles (RGPD) entre en vigueur le 25 mai prochain. À cette date, les collectivités seront responsables des données personnelles qu'elles détiennent. Elles doivent se mettre en conformité pour éviter des sanctions.

Face à la montée des menaces qui pèsent sur les données personnelles dans une société de plus en plus numérique, l'Union européenne s'est dotée d'une nouvelle réglementation (Règlement (UE) 2016/679 du 27 avril 2016). Elle confère plus de protection pour les citoyens tout en imposant plus de responsabilités à ceux qui collectent, traitent et échangent des données personnelles. Les collectivités locales sont concernées. Elles traitent en effet, au quotidien, de nombreuses données personnelles nécessaires à leurs activités : fiches de paie des agents, données de vidéosurveillance, état civil, liste électorale, téléservices, cantine scolaire, etc. Le nouveau règlement inverse la logique de contrôle a priori au profit de la responsabilisation («accountability ») des acteurs. Jusqu'alors, les traitements étaient soumis à un régime déclaratif et d'autorisation. Désormais, les acteurs publics sont responsables dès la conception du traitement de leurs données, et ils doivent prouver à la CNIL qu'ils ont pris toutes les mesures nécessaires pour assurer leur protection optimale. À défaut, le maire (responsable du traitement) s'expose à des sanctions, notamment financières. Sans compter les répercussions d'une perte de confiance des administrés dont les données personnelles seraient volées, perdues, utilisées à leurs dépens…
 

1. Désigner un pilote

La première étape consiste à se doter d'un délégué à la protection des données (DPD). Obligatoire dans chaque collectivité, il a pour mission de piloter la mise en conformité avec le RGPD, puis de contrôler son application dans le temps. Le correspondant informatique et liberté (CIL), quand il existe, a vocation à être désigné DPD. À défaut, l'agent choisi devra présenter ...

(...)