Pour beaucoup d’entreprises, le RGPD (1) serait synonyme d’obligations, de contrôle et de sanctions. Essayons d’y voir plutôt des mesures destinées à encadrer de manière  relativement souple les pratiques liées au Big data et éviter leurs dérives. 

Nombre d’entreprises voient d’un mauvais œil les nouvelles obligations qui leur sont imposées, celles-ci constituant, d’après elles, un frein pour le développement leur nouveau modèle économique.

Elles voient dans texte « bureaucratique » une tentative de  mettre des entraves à l’utilisation de la matière la plus précieuse de notre ère : la data o, les données.

A l’époque  du tout connecté, de l’Internet des objets, pourquoi entraver la libre utilisation des données, même si celles-ci présentent assez souvent un caractère très personnel?

Une nouvelle forme de pensée managériale considère « la donnée » et son traitement comme la clé de compréhension de notre vaste Monde sans aller jusqu’à l’Univers.

Toute norme visant à contrôler, voire interdire,  la possibilité de traiter des données, en particulier des données personnelles, irait ainsi à contre-courant de l’histoire et de l’avenir de l’Humanité.                                           

Comme bien souvent, il existe un juste milieu dans les analyses quand on les confronte avec rigueur à la réalité :

L’intitulé exact du RGPD est : « Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données », (abrogeant la directive 95/46/CE (règlement général sur la protection des données).

ð Le RGPD concernerait donc  bien aussi, en positif,  la libre circulation des données à caractère personnel.

Le RGPD n’interdit pas mais encadre.

L’article 9 du RGPD intitulé « Traitement portant sur des catégories particulières de données à caractère personnel » prévoit au premier alinéa :

« Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits ».

ð Si RGPD « interdit », le second alinéa de ce même article tempère cette interdiction :

En effet,  le paragraphe 1 ne s'applique pas si l'une des conditions suivantes est remplie » :

Parmi les 10 conditions alternatives la première est :

« la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l'Union ou le droit de l'État membre prévoit que l'interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ».

On voit ainsi que l’interdiction n’est pas absolue et n’est pas le fait du RGPD mais celui de la personne concernée ou d’une autre norme légale.

ð Généralement, l’obtention de l’autorisation  (sous réserve d’informations claires) des personnes concernées par le traitement de données suffit à le rendre licite.

Ainsi, les principes énoncés sont accompagnés d’une série d’exceptions applicables sous la condition sine qua non que certains critères soient remplis.

Le RGPD n’échappe ni plus ni moins pas à la règle générale du Droit.

L’accompagnement de mise en conformité au RGPD n’aura donc pas pour but d’empêcher d’effectuer des traitements de données personnelles ou de restreindre les initiatives économiques mais, de les réaliser en les encadrant.

(1) Le GDPR et ses finalités

Le Règlement général sur la protection des données (GDPR) constitue le nouveau texte de référence, au niveau européen en matière de protection des données à caractère personnel.

ll renforce et unifie la protection des données pour les individus au sein de l’Union européenne.

Le règlement doit s’appliquer aux entreprises établies en dehors de l’Union européenne qui traitent les données relatives aux activités des organisations de l’UE.

Les sociétés non-européennes seront également soumises au règlement si elles ciblent les résidents de l’UE par le profilage ou proposent des biens et services à des résidents européens.

De manière générale, le message destiné aux entreprises concernées par le GDPR est qu’il est désormais encore plus crucial qu’auparavant de traiter les données à caractère personnel avec un soin tout particulier et rigoureux, c’est-à-dire notamment de savoir en permanence où sont conservées les données sensibles, qui les exploite et qui peut disposer de l’accès à ces données.

Voir :