Gui

de Ju

ridiq

ue d

u RG

PD

isbn

: 978

-2-4

09-0

2308

-8

Guide Juridique du RGPDLa réglementation sur la protection des données personnelles (2e édition)

Actuellement, nous générons en une seule journée plus de données qu’il n’en a été produites entre le début de l’humanité et l’an 2000. À l’ère du numérique, les modèles économiques fondés sur l’exploitation des « datas » et, en particulier les données personnelles, constituent un enjeu majeur pour les entreprises.

Assurer la libre circulation des personnes à l’intérieur de l’Union sans unifier tota-lement la protection de leurs données qui pourtant circulent elles aussi dans toute l’Europe, n’aurait pas été acceptable pour les citoyens européens en ce début du XXIe siècle. Le RGPD est donc la pierre angulaire de l’Europe de la protection des données. La protection des données à caractère personnel constitue l’une des dimensions du droit au respect de la vie privée ; elle est désormais consacrée comme un droit fondamental à part entière dans la Charte des droits fondamen-taux de l’Union européenne (article 8). Le nouveau cadre juridique européen ren-force les droits des personnes, responsabilise davantage l’ensemble des acteurs qui traitent des données personnelles tout en leur fournissant des outils pour se mettre en conformité (délégué à la protection des données, analyse d’impact, etc.).

Le règlement améliore la crédibilité de la régulation en mettant en place une coo-pération plus forte entre les autorités de régulation européennes et un niveau plus élevé de sanctions. Il définit les principes à respecter lors de la collecte, du trai-tement et de la conservation de données personnelles. Il garantit également un certain nombre de droits pour les personnes concernées. Cependant, la mise en œuvre de ces principes est un véritable casse-tête pour les entreprises.

Après avoir décrit le contexte de l’adoption de la nouvelle Loi Informatique et li-bertés et du RGPD et expliqué le concept d’Accountability, l’ouvrage s’intéresse à l’identification des traitements de données à caractère personnel (Chapitre 1) puis à déterminer comment le responsable de traitement doit s’assurer de la licéité des traitements (Chapitre 2), quels sont les outils dont il dispose pour sa « com-pliance » (Chapitre 3) et pour sécuriser les traitements (Chapitre 4).

Cette seconde édition du guide est à jour de la réglementation sur la protection des données, il tient compte également des récentes positions doctrinales de la CNIL. Son objectif est d’aider les entreprises à faire de la nouvelle loi Informatique et libertés, une opportunité et non une contrainte au service de l’innovation, de la compétitivité et de la confiance.

Gérard HAAS Fondateur du Cabinet HAAS-Avocats, Gérard HAAS est docteur en droit, Avocat à la Cour d’appel de Paris, spécialiste en droit de la pro-priété intellectuelle, de la communication et de l’information et Expert INPI. Conférencier, il intervient à l’ESCP-Europe, HEC Executive Education. Gérard HAAS est également l’auteur de plusieurs ouvrages sur la protection des jeux de données.

Pour plus d’informations :

45 €

Gérard HAAS

La réglementation sur la protection des données personnelles

Guide Juridique du RGPD

Téléchargementwww.editions-eni.fr.fr

sur www.editions-eni.fr : b webographie du livre En téléchargement

webographie

2e édition

+ QUIZ

Version en ligne

OFFERTE !pendant 1 an

1Table des matières

Avant-propos

Introduction1. Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

2. Zoom sur la loi Informatique et Libertés . . . . . . . . . . . . . . . . . . . . . . . 6

3. Zoom sur le RGPD . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133.1 Rappel du contexte du RGPD . . . . . . . . . . . . . . . . . . . . . . . . . . . 143.2 La nécessité de maîtriser ses données . . . . . . . . . . . . . . . . . . . . . 20

4. Applicabilité de la loi Informatique et Libertés . . . . . . . . . . . . . . . . . 214.1 Applicabilité matérielle de la Loi Informatiques et Libertés . . . 214.2 Qui contrôle le respect de la loi Informatique et Libertés ? . . . . 224.3 Qu’est-ce que je risque si je ne respecte pas la loi

Informatique et Libertés ? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234.3.1 Procédure de sanction. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244.3.2 Typologie des sanctions . . . . . . . . . . . . . . . . . . . . . . . . . . . 25

4.3.3 Sanctions pécuniaires . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264.3.4 Sanctions pénales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 304.3.5 Atteinte à l’image . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32

4.4 Recours . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33

5. Qu’est-ce que l’Accountability ? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 345.1 Documentation et procédure en matière de sécurité . . . . . . . . . 375.2 Documentation et procédure

en matière de respect des droits des personnes. . . . . . . . . . . . . . 395.3 Documentation et procédure en matière de formation

et de sensibilisation du personnel . . . . . . . . . . . . . . . . . . . . . . . . 395.4 Documentation et procédure

en matière de conformité des traitements . . . . . . . . . . . . . . . . . 405.5 L’Accountability, nouvel indice

de détermination des sanctions . . . . . . . . . . . . . . . . . . . . . . . . . . 41

2

La réglementation sur la protection des données personnelles

Guide juridique du RGPD

Chapitre 1Identifier les traitements

1. Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43

2. Comment identifier une donnée personnelle ?. . . . . . . . . . . . . . . . . . 44

3. Les cas où la donnée personnelle perd son pouvoir identifiant . . . . . 47

4. Interdiction de traitement de certaines données personnelles . . . . . 48

5. Comment identifier un traitement de données personnelles ? . . . . 54

6. Les obligations du responsable de traitement de données . . . . . . . . . 556.1 Qui est le responsable du traitement ? . . . . . . . . . . . . . . . . . . . . 556.2 La responsabilité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56

6.2.1 La responsabilité du responsable de traitement . . . . . . . . 586.2.2 La responsabilité pénale des dirigeants . . . . . . . . . . . . . . . 616.2.3 Les responsables conjoints de traitement . . . . . . . . . . . . . 64

7. Le sous-traitant. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66

8. Le Délégué à la protection des données. . . . . . . . . . . . . . . . . . . . . . . . 72

Chapitre 2S’assurer de la licéité de vos traitements

1. Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75

2. Les étapes clés en amont du traitement . . . . . . . . . . . . . . . . . . . . . . . 762.1 Les finalités du traitement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 772.2 La qualité des données (principes de minimisation,

d’exactitude et de mise à jour). . . . . . . . . . . . . . . . . . . . . . . . . . . 782.3 La définition de la durée de conservation des données . . . . . . . 812.4 Le recensement du traitement dans le registre

des activités de traitement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83

3. La mise en œuvre du traitement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 833.1 Le principe de transparence . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 833.2 L’information des personnes . . . . . . . . . . . . . . . . . . . . . . . . . . . . 853.3 Le consentement des personnes. . . . . . . . . . . . . . . . . . . . . . . . . . 90

3Table des matières

3.4 Le respect des droits des personnes . . . . . . . . . . . . . . . . . . . . . . . 973.4.1 Les droits maintenus et renforcés . . . . . . . . . . . . . . . . . . . 973.4.2 Les nouveaux droits issus du RGPD . . . . . . . . . . . . . . . . 105

3.5 Les flux transfrontières. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115

Chapitre 3Les outils de la Compliance

1. Vous avez dit Privacy by design et Privacy by default ? . . . . . . . . . 1211.1 Privacy by design . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 121

1.1.1 La genèse du concept . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1211.1.2 L’émergence de la notion . . . . . . . . . . . . . . . . . . . . . . . . . 1221.1.3 La consécration du principe . . . . . . . . . . . . . . . . . . . . . . . 122

1.2 Privacy by default . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123

2. Comment respecter le principe de Privacy by design ? . . . . . . . . . . 1242.1 Tenir un registre des activités de traitement . . . . . . . . . . . . . . 1252.2 Réaliser une étude d’impact sur la vie privée (PIA) . . . . . . . . . 128

2.2.1 Contenu de la PIA. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129

2.2.2 Description du traitement et de ses finalités . . . . . . . . . 1322.2.3 Évaluation de la nécessité et de la proportionnalité

des opérations de traitement au regard des finalités . . . 1332.2.4 Description des mesures pour faire face aux risques . . . 1342.2.5 Une évaluation des risques pour les droits

et libertés des personnes concernées . . . . . . . . . . . . . . . . 1352.2.6 Les résultats de l’EIVP . . . . . . . . . . . . . . . . . . . . . . . . . . . 136

2.3 Nommer un délégué à la protection des données (DPO). . . . . 1382.3.1 Désignation du DPO . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1382.3.2 Fonctions du DPO . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1472.3.3 Responsabilité du DPO . . . . . . . . . . . . . . . . . . . . . . . . . . 1492.3.4 Missions du DPO . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151

2.4 Adopter des certifications, labels et codes de conduite . . . . . . 1542.4.1 La certification . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1552.4.2 Fin des labels CNIL. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1572.4.3 Les codes de conduite . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159

4La réglementation sur la protection des données personnelles

Guide juridique du RGPD

Chapitre 4Sécuriser les traitements

1. Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161

2. Qui est concerné par l’obligation de sécurité ? . . . . . . . . . . . . . . . . . 162

3. Pourquoi mettre en place des mesures de sécurité ?. . . . . . . . . . . . . 164

4. Que dois-je faire pour sécuriser mon traitement ? . . . . . . . . . . . . . . 1674.1 Mener un audit de sécurité complet . . . . . . . . . . . . . . . . . . . . . 1694.2 Mettre en place des mesures techniques. . . . . . . . . . . . . . . . . . 169

4.2.1 Sécuriser l’accès physique aux locaux . . . . . . . . . . . . . . . 1704.2.2 Sécuriser les postes de travail. . . . . . . . . . . . . . . . . . . . . . 1714.2.3 Sécuriser le réseau local . . . . . . . . . . . . . . . . . . . . . . . . . . 1754.2.4 Sécuriser les données sauvegardées . . . . . . . . . . . . . . . . . 1764.2.5 La pseudonymisation . . . . . . . . . . . . . . . . . . . . . . . . . . . . 176

4.3 Mettre en place des mesures organisationnelles. . . . . . . . . . . . 1814.3.1 Élaborer un référentiel de sécurité complet . . . . . . . . . . 1814.3.2 Adopter une logique Privacy by design . . . . . . . . . . . . . . 1854.3.3 Mener des études d’impact et des tests d’intrusion . . . . 1854.3.4 Tenir un registre des failles de sécurité . . . . . . . . . . . . . . 1864.3.5 Sécuriser la confidentialité et la sécurité des données

avec les prestataires et sous-traitants . . . . . . . . . . . . . . . 1894.3.6 Former son personnel au travers

d’actions de sensibilisation . . . . . . . . . . . . . . . . . . . . . . . 1904.3.7 Nommer un RSSI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191

Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 193

Annexes1. Quiz : Avez-vous le profil compliance ? . . . . . . . . . . . . . . . . . . . . . . 197

2. Bibliographies, liens utiles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 200

7

6

Chapitre 4Le contexte du chantier numérique

Le contexte du chantier numérique1. Usages existants et opportunités futuresCe chapitre diffère du précédent, il traite de la révolution numérique en se fo-calisant sur les technologies et outils qui sont et peuvent être utilisés pour lesuccès du « chantier numérique », compris dans son sens large, c’est-à-dire lesecteur du bâtiment dans son ensemble. Le graphique placé dans la section La

nécessité d’améliorer le processus de construction, est encore une fois rappelétant il montre bien la nécessité pour le secteur du BTP de considérer sincère-ment les opportunités pouvant être apportées par la révolution numérique.

Leur connaissance permet de s’apercevoir de l’existence de nombreuses passe-relles permettant de ne pas partir de zéro dans la mise en œuvre du BIM. Dansla plupart des cas, les éditeurs de logiciels pour le secteur du bâtiment ontanticipé l’arrivée du BIM depuis plusieurs années voire plusieurs dizainesd’années. Des fonctionnalités spécifiques ont été prévues dans les logiciels afinde donner la possibilité d’éditer les fichiers dans des formats compatibles avecles projets BIM.

À l’inverse, la méconnaissance de ces usages numériques antérieurs au BIMpeut amener à réaliser des travaux superflus et à donner une impression de« réinventer la poudre », ce qui peut être très contre-productif pour la promo-tion du BIM.

68Sa mise en œuvre à l’heure du chantier numérique

Le BIM

Comme pour les secteurs d’activité autres que celui du BTP, un professionnelpeut très vite se ressentir un peu perdu face à une véritable galaxie de possibi-lités. C’est pour répondre à cette problématique que cet ouvrage a été écrit,avec l’idée qu’un référencement ordonné de ces outils dans un « manuel » per-mettra de retrouver rapidement des informations lorsqu’un problème survient.

D’une manière plus large, le processus BIM invite tous les acteurs de laconstruction à mieux considérer les sujets transversaux à chaque métier diffé-rent, et en particulier les outils numériques qu’ils utilisent. Réalisé préalable-ment à la mise en œuvre d’un processus BIM, s’informer à propos des outils

Pour avoir plus de détail sur comment lire ce livre, rendez-vous au chapitreAvant-propos, à la section Affronter la complexité du BIM par une disci-pline rigoureuse, p. 15.

La question de la révolution numérique dans son ensemble, c'est-à-dire nonlimitée au chantier numérique, est décrite au chapitre précédent. Pour plusd'informations, rendez-vous à la section La révolution numérique : uncontexte particulier et générateur de craintes et d’opportunités, p. 48.

© E

diti

ons

ENI -

All

righ

ts r

eser

ved

utilisés par ses partenaires ne sera ainsi jamais superflu.

Les outils numériques et concepts organisationnels qui facilitent l’exécutiond’un chantier numérique dans le cadre de l’avènement du BIM sont détaillésdans les chapitres qui suivent ce chapitre de contexte. Par contre, le para-graphe sur le scan 3D, qui permet d’acquérir un nuage de points courammentutilisé pour réaliser la modélisation d’un bâtiment existant, est présent dansce chapitre car il est fréquemment associé au BIM, sans en être une partieintégrante.

9

6Le contexte du chantier numériqueChapitre 4

2. Les outils numériques sur le terrain

2.1 Des tablettes sur les chantiers

C’est une image bien connue et souvent diffusée, d’un professionnel du BTPcollaborant avec son casque et sa tablette. La tablette est en effet un supportprivilégié pour amener l’efficacité du numérique sur le terrain. Comme pourd’autres outils du chantier numérique, la tablette n’a pas attendu le BIM pourarriver sur les chantiers.

La tablette est presque devenue le signe extérieur de modernité par excellenceet, dans cette situation, il faut veiller à ce que l’image marketing ne deviennepas une fin en soi. La définition des besoins auxquels la tablette répond parexemple, fiabilité et praticité, doit rester l’objectif central. Sinon, le personnelpourrait percevoir cette évolution comme une évolution gadget plus utile à lacommunication externe que pour améliorer la qualité du travail. Il est souhai-table, par exemple, de connaître précisément à l’avance les problèmes quiseront résolus par l’introduction de la tablette sur les chantiers ainsi que d’envérifier, à l’avance également, l’efficacité réelle dans des conditions de chan-tier.

En particulier la tablette ou le smartphone sont les outils qui cristallisent leplus l’extraordinaire démocratisation des objets numériques. Cette démocra-tisation est tellement rapide qu’il est très difficile de résumer la galaxie de pos-sibilités qu’offrent ces outils. En tant que tels, ils concentrent ainsi les aspectsexpliqués dans le chapitre précédent sur la révolution numérique, à la sectionLa révolution numérique : un contexte particulier et générateur de craintes etd’opportunités.

70Sa mise en œuvre à l’heure du chantier numérique

Le BIM

2.2 La réalité virtuelle et autres variantes

Les autres outils souvent présentés dans le cadre du chantier numérique sontles outils qui exploitent la visualisation virtuelle. Il convient de premier abordde différencier :

– les visites virtuelles (réalité virtuelle) dans lesquelles une personne est plon-gée en immersion dans un monde 3D,

– la réalité augmentée pour laquelle un affichage se superpose à la vision réellele plus souvent au moyen de lunettes semi-transparentes qui font égale-ment office d'écran numérique..

Conformément au mouvement de la révolution numérique, ces technologiespoursuivent leur démocratisation avec des équipements professionnels quigagnent en permanence de nouvelles fonctionnalités et, dans le même temps,des équipements rendus disponibles aux particuliers.

Ces usages pourront grandement profiter au BIM dans le sens où la révolutionproduit et va produire une très grande quantité de modélisations 3D.

© E

diti

ons

ENI -

All

righ

ts r

eser

ved

2.3 Les drones

D’une manière semblable à la réalité virtuelle, l’utilisation de drones profited’une double démocratisation, à la fois pour les professionnels et pour les par-ticuliers. Les drones permettent d’obtenir très facilement des images.

L’utilisation de drones peut donner des résultats spectaculaires dans le cadrede la photogrammétrie, c’est-à-dire l’acquisition d’un nuage de points fidèle àun site ou bâtiment existant sur la base de la parallaxe de mouvement. Cetteutilisation est particulièrement pertinente dans la mesure où le drone permetde s’affranchir de deux des limitations qui pénalisent la photogrammétrie : ilpermet un très grand recul et une couverture à 360° qui s’affranchit d’éven-tuels obstacles.

Il faut cependant rappeler que leur utilisation est régie par un cadre juridique,ces outils étant susceptibles d’être utilisés d’une manière non compatible avecla sécurité, la propriété privée et la vie privée, en particulier sur les parcelles au-tour de l’environnement du bâtiment.

1

7Le contexte du chantier numériqueChapitre 4

3. La modélisation basée sur un nuage de points : le scan 3D et autres techniquesLa maquette numérique en trois dimensions utilisées pour le BIM est modéli-sée par une technique spécifique dite « orientée objet » qui consiste en l’agré-gation d’objets BIM. À l'inverse, de nombreuses modélisations 3D qui sontdiffusées, en particulier sur Internet, sont des modélisations 3D filaires,constituées par des surfaces, arêtes et points.

Par exemple, il est possible de réaliser une modélisation de la façade du bâti-ment en traitant un nuage de points acquis par un scanner laser. Une telle mo-

Pour plus de détails sur la différence entre ces deux types de modélisation3D, rendez-vous au chapitre Le contexte de la révolution numérique -section Les logiciels de design 3D, p. 65.

Pour plus de détails sur le choix de la modélisation orientée objet fait pourle BIM, rendez-vous au chapitre Analyse et construction de la maquetteBIM - section Une maquette « orientée objet » et « paramétrique », p. 119.

délisation sera « vide », car aucune information sur la structure du bâtimentne sera disponible, même pas l’épaisseur des murs de façade.

3.1 Acquérir un nuage de points pour réaliser une géométrie 3D

Pour travailler sur des structures existantes, en particulier pour des chantiersde rénovation, il peut être nécessaire d’obtenir une représentation techniqueprécise de ces structures et de leur environnement.

Pour trouver des exemples de modélisations de façade de bâtiment, rendez-vous au chapitre Mini-catalogue de ressources - section Modèles 3D nonlimités aux modèles BIM, p. 233.

72Sa mise en œuvre à l’heure du chantier numérique

Le BIM

La constitution de cette représentation technique précise implique très sou-vent un géomètre expert qui réalise tout un ensemble de mesures permettantpar la suite de réaliser les plans de l’existant. Cette phase de prise de mesureset leur analyse est fastidieuse et complexe. De plus, elle est caractérisée par unrisque d’erreur important pouvant avoir des causes multiples : confusionentre les mesures, notes sur papier peu lisibles, pointage incorrect...

Une autre technique est fréquemment associée au BIM : la constitution d’unnuage de points, le plus souvent par des techniques de scan de bâtiment. Leprincipe est d’obtenir un ensemble de points de données, localisés dansl’espace par des coordonnées x, y et z, représentant la façade des structures etde tous les objets présents.

© E

diti

ons

ENI -

All

righ

ts r

eser

ved

Exemple de nuage de points réalisé sur un bâti ancien - Source de l’image : Image dublog BibLus, blog du savoir faire et du logiciel pour l'architecture, l’ingénierie et laconstruction)

Un des principaux avantages de cette technique est qu'elle permet à tout mo-ment de récupérer n’importe quelle dimension avec les données acquises enune seule visite sur site. À l’inverse, en ne prenant que des mesures isolées, ilest possible que certaines dimensions, demandées après la première visite sursite, rendent nécessaire un déplacement supplémentaire. Cette technique sup-prime certains risques d’erreur liés à la complexité du travail de géomètre (er-reur de lecture de plan, triangulation…).