Comprendre le RGPD: focus sur le principe de transparence et l'information des personnes concernées

1 - Le principe de transparence: décryptage

Le RGPD (Règlement européen sur la protection des données) exige que les personnes concernées soient informées du traitement de leurs données à caractère personnel. C'est le principe de transparence. Les données ne peuvent être traitées qu'après communication aux personnes concernées d'une information complète sur le traitement.

Le principe de transparence vaut tout particulièrement dans des situations où la multiplication des acteurs et la complexité des technologies utilisées font qu'il est difficile, pour la personne concernée, de savoir et de comprendre si des données personnelles la concernant sont collectées, par qui et à quelle fin, comme dans le cas de la publicité en ligne. Toutefois, le principe de transparence doit être respecté pour tout traitement de données personnelles.

Le règlement énumère un ensemble d'informations devant être obligatoirement communiqué aux personnes concernées. Les informations à fournir ne sont pas les mêmes selon que celles-ci ont été collectées directement auprès de la personne concernée, ou que celles-ci proviennent d'une voie indirecte, i.e. via un tiers (exemple: location de bases clients).

Quelles que soient les modalités de collecte, le responsable de traitement devra informer les personnes concernées de:

• Son identité, de ses coordonnées, et de celles du DPO (délégué à la protection des données);
• La finalité du traitement et de la base juridique (consentement, contrat, etc.);
• L'identité des destinataires des données;
• L'existence de transferts en dehors de l'UE;
• La durée de conservation des données;
• L'existence des droits d'accès, de rectification, d'effacement, de limitation et d'opposition au traitement et du droit à la portabilité (tout en gardant en mémoire que certains droits ne s'appliquent pas à certains traitements);
• L'existence du droit d'introduire une réclamation auprès d'une autorité de contrôle (exemple: Cnil);
• L'existence d'une prise de décision automatisée le cas échéant (exemple: profilage).

La communication de ces informations est obligatoire, à quatre exceptions près:

• Si la personne concernée dispose déjà de ces informations;
• Si la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés;
• Si le droit de l'Union Européenne ou celui d'un État membre prévoient l'obtention ou la communication des données;
• S'il s'agit de données confidentielles en vertu d'une obligation de secret professionnel.

>> Lire la suite en .