RGPD LOPDGDD

La différence entre une entreprise conforme au RGPD et une entreprise qui possède seulement des papiers RGPD se voit le jour où survient une violation de données. La première a une procédure, un canal et une personne ; la seconde a une adresse e-mail générique et un dossier qu'on n'a pas rouvert depuis l'audit initial.

Nous travaillons sur l'activité réelle de l'entreprise : nous cartographions les traitements tels qu'ils se produisent, pas tels qu'ils sont décrits dans le modèle fourni avec le logiciel de gestion, et nous construisons le système sur cette réalité. Ce que nous livrons est un cadre qui évolue avec l'entreprise : des documents qui changent quand les processus changent, une formation périodique, des simulations de violation et une révision continue — pas un PDF signé une fois puis oublié.

Lorsqu'arrive l'inspection de l'AEPD, ou qu'un grand client demande un audit fournisseur, le travail est déjà fait. Et lorsque survient une violation de sécurité — car tôt ou tard cela arrive — vous savez qui appeler et dans quel ordre agir.

Le Règlement général sur la protection des données (UE) 2016/679 s'applique directement dans toute l'Union européenne depuis le 25 mai 2018 et concerne toute organisation, publique ou privée, qui traite des données personnelles de personnes physiques, quels que soient sa taille ou son chiffre d'affaires. Aucun seuil d'effectif ou de revenus n'exempte de la conformité : un indépendant avec trois clients et une multinationale sont soumis au même texte, même si l'ampleur de leurs obligations — et le risque réel — diffère fortement.

La loi organique espagnole 3/2018 relative à la protection des données personnelles et à la garantie des droits numériques (LOPDGDD) développe le RGPD dans l'ordre juridique espagnol : elle précise les cas de désignation obligatoire du DPD (art. 34), encadre les traitements de vidéosurveillance (art. 22), les systèmes d'opposition à la prospection commerciale, les données des personnes décédées et les droits numériques au travail, et fixe le régime national de sanctions (art. 70 à 78) aligné sur les paliers de l'article 83 du RGPD. L'Agence espagnole de protection des données (AEPD) est l'autorité de contrôle compétente en Espagne et celle qui traite les réclamations, ouvre les procédures de sanction et publie les recommandations de référence du secteur.

Pour une PME, se conformer au RGPD et à la LOPDGDD signifie en pratique cinq choses : savoir quelles données personnelles elle traite et sur quelle base légale (art. 6), le documenter dans un registre des activités de traitement (art. 30), informer correctement les personnes concernées (art. 13 et 14), maîtriser les contrats avec les prestataires qui accèdent à ces données (art. 28), et être prête à répondre aussi bien à une demande d'exercice de droits qu'à une violation de sécurité dans les délais légaux.

Le RGPD ne se résout pas avec une seule page ni un seul document : c'est un système de gestion composé de briques spécialisées qui se combinent selon le risque et le secteur de chaque organisation. Cette page est le point de départ — la carte des obligations — et depuis ici nous relions les services qui couvrent chaque front concret : le DPD externe lorsque la désignation est obligatoire ou renforce le système, la gestion des violations de sécurité, la mise en conformité de la vidéosurveillance avec l'article 22 de la LOPDGDD, la procédure de traitement des droits des personnes concernées, et les déclinaisons sectorielles pour la santé, l'éducation et les administrations locales.

Toutes les organisations n'ont pas besoin des mêmes briques du silo : un cabinet de cinq salariés résout probablement sa conformité avec la mise en conformité de base et un canal de violations ; une clinique ou une école auront presque certainement besoin en plus d'un DPD externe inscrit auprès de l'AEPD ; et une mairie ou une entreprise installant des caméras ajoute la brique vidéosurveillance. Le diagnostic initial détermine quelle combinaison s'applique à votre cas concret, sans vendre de services superflus.

Le régime de sanctions de l'article 83 du RGPD comporte deux paliers : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les infractions les moins graves (registre des traitements incomplet, contrats de sous-traitance absents, défaut de désignation du DPD lorsqu'elle est obligatoire), et jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour les plus graves (absence de base légale, violation des principes du traitement, manquement systématique aux droits). La LOPDGDD, dans ses articles 72 à 74, transpose ces paliers dans l'ordre juridique espagnol et ajoute des délais de prescription selon la gravité de l'infraction.

L'AEPD n'agit pas uniquement d'office : la plupart des procédures de sanction s'ouvrent à la suite d'une réclamation d'un particulier ou de la notification d'une violation de sécurité mal gérée. Disposer d'un système documenté et opérationnel avant qu'un incident ne survienne fait, en pratique, la différence entre une sanction et un dossier classé sans suite.