La directive européenne de protection des données 95/46/CE a été abrogée par le Règlement Général de Protection des Données (GDPR ou RGPD) du 27/04/2016 (version Fr. et version Eng. ).
Depuis le 25 mai 2018 le GDPR est applicable dans l’ensemble des Etats Membres.
Le GDPR /RGPD prévoit une responsabilité des sous-traitants.
Le Règlement de protection des données concerne les traitements mis en œuvre dans le cadre de l’activité d’un établissement situé sur le territoire d’un état membre.
Il s’applique aussi aux entreprises localisées en dehors de l’Union Européennes dès lors qu’elles proposent des biens ou services aux citoyens européens ou qu’elles suivent leurs activités dans l’UE pour analyser leurs comportements.
Depuis le 25 mai 2018, elles doivent :
Encadrer contractuellement les relations avec leurs sous-traitants avec u certain nombre de mentions obligatoires
Répondre aux nouvelles demandes d’exercice des droits des personnes, notamment le droit à la portabilité, le droit à l’oubli
La violation des principes relatifs à la collecte et à l’utilisation des données personnelles est passible de sanctions maximales de l’ordre de 4% du C.A. d’un groupe (ou 20 M €).
La violation des obligations de sécurité des données personnelles, de Data Protection by Design, d’étude d’impacts sur la vie privée, d’analyse des risques ou les droits des personnes, est passible de sanctions maximales de 2% du C.A. global de son groupe (ou 10 M€).
L’avertissement comme la sanction peuvent être rendus publics par l’autorité de protection des données.
La violation des dispositions de la loi de protection des données, y compris par négligence, est passible de sanctions pénales telles que prévues aux articles 226-16 à 226-24 du Code pénal.
Enfin, les personnes concernées peuvent porter plainte directement ou par l’intermédiaire d’une association contre toute organisation ne respectant pas le RGPD.
