Le RGDP : ce qu'il faut savoir
Le Règlement Général sur la Protection des Données (RGPD), entré en vigueur le 25 mai 2018, s'applique à toutes les collectivités, qui doivent par conséquent désigner un Délégué à la Protection des Données (DPD ou Data Protection Officer – DPO en anglais).
Cette réglementation vient renforcer les droits des personnes sur leurs données personnelles, ainsi que la sécurité de ces données. Elle prévoit des sanctions importantes en cas de manquement à ces obligations.
Cela implique :
- L'obligation de désigner un délégué à la protection des données (DPD, ou DPO, anglicisme tiré de " Data Protection Officer ") auprès de la CNIL
- Une obligation d'information d’utilisation des données à caractère personnel et également en cas de perte de données
- Un risque aggravé de sanctions (l'autorité territoriale est notamment pénalement responsable en cas de non-conformité au règlement)
Dans le cadre de sa centrale d'achat, le CDG79 a proposé aux collectivités intéressées un dispositif d’accompagnement à la mission de DPD pour la période 2025-2028.
Cette mission mutualisée de DPD a été confiée à la société DATA VIGI PROTECTION, dont les prestations principales sont les suivantes :
- Accompagner l’établissement des procédures internes liées à la conformité au RGPD
- Aider à l’élaboration et assurer la mise à jour du registre des traitements
- Maintenir un haut niveau de conformité dans la collectivité
- Diffuser une culture informatique et libertés dans les services
- Sensibiliser élus et agents
- Assister la collectivité dans le cadre des procédures de notification de violations, d’exercice de droit, d’interrogation, d’interpellation, ou de contrôle de la CNIL.
Les adhérents bénéficient d'un accompagnement par Data Vigi Protection jusqu'au 31 décembre 2028.
Pour toutes questions, vous pouvez solliciter DATA VIGI PROTECTION.
Contacts génériques :
Téléphone : 03 22 44 22 30
Mail : rgpd@datavigiprotection.fr et/ou rgpd79@datavigiprotection.fr
Le RGPD... plus en détails
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Il peut s'agir (liste non exhaustive) :
- D'un nom, prénom, adresse, numéro de téléphone ou email
- D'un numéro de sécurité sociale, matricule agent
- D'une photo, une empreinte digitale
- D'une adresse IP, un identifiant de connexion
- De données de santé, d'opinions politiques ou syndicales
- ...
En tant que collectivités, vous traitez quotidiennement des données personnelles concernant vos agents (dossiers RH, paies...), vos administrés (état civil, inscriptions scolaires, services périscolaires...), vos élus, ou encore vos fournisseurs. Dès qu'une donnée à caractère personnel est utilisée, son utilisation est soumise au RGPD.
Le registre des activités de traitement est un document obligatoire qui recense l'ensemble des traitements de données personnelles mis en œuvre par votre collectivité.
Exemples d'activités de traitement :
- Gestion de la paie
- Gestion des cimetières
- Gestion des services périscolaires
- ...
Le registre doit contenir pour chaque traitement a minima :
- La finalité (pourquoi utilise-t-on les données ?)
- La base légale (ce qui justifie légalement le droit d'utiliser la donnée)
- Les catégories de données collectées (quoi ? Ex : identité, coordonnées, situation familiale)
- Les personnes concernées (qui ? Ex : agents, enfants, familles)
- Les destinataires des données (à qui sont-elles transmises ?)
- Les durées de conservation
- Les mesures de sécurité mises en place
- Si le traitement implique un transfert des données hors Union européenne
Ce registre est obligatoire pour toutes les collectivités et constitue le socle de la mise en conformité RGPD. Il doit être tenu à jour et être disponible en cas de contrôle de la CNIL.
Sanctions administratives de la CNIL :
- Avertissement ou mise en demeure publique
- Amendes administratives pouvant atteindre 20 millions d'euros pour les organismes publics
Autres risques :
- Atteinte à l'image de la collectivité (publication des sanctions sur le site de la CNIL)
- Responsabilité civile : indemnisation des personnes victimes d'un préjudice
- Perte de confiance des administrés et des agents
- Risques cyber : violations de données, fuites, piratages en cas de non-sécurisation
La mise en conformité n'est pas une option mais une obligation légale qui protège à la fois les droits des personnes et votre collectivité.