Carte des sanctions RGPD

En application de l’article 84 du RGPD, le montant des sanctions pécuniaires peut s’élever jusqu’à 20 millions d’euros ou dans le cas d’une entreprise jusqu’à 4 % du chiffre d’affaires annuel mondial. Ces sanctions peuvent par ailleurs être rendues publiques. Quelques sanctions marquantes de la CNIL :

• Le 17 décembre 2020 : deux amendes de 3 000 € et 6 000 € à l’encontre de deux médecins libéraux pour avoir insuffisamment protégé les données personnelles de leurs patients et ne pas avoir notifié une violation de données à la CNIL
• Le 7 décembre 2020 : Google sanctionnée à hauteur de 100 millions d’euros pour avoir mis en place des cookies publicitaires sur les ordinateurs d’utilisateurs du moteur de recherche google.fr sans leur consentement préalable ni informations satisfaisantes
• Le 7 décembre 2020 : Amazon sanctionnée à hauteur de 35 millions d’euros pour avoir mis en place des cookies publicitaires sur les ordinateurs d’utilisateurs d’Amazon.fr sans leur consentement préalable ni informations satisfaisantes
• Le 26 novembre 2020 : le groupe CARREFOUR sanctionné à hauteur de 3 050 000 euros pour des manquements au RGPD concernant notamment l’information délivrée aux personnes et le respect de leurs droits.

En pratique, plusieurs actions simples doivent être mises en place pour assurer une conformité de votre structure au RGPD.

• Respecter le principe de minimisation (article 5) en ne collectant que les données pertinentes
• Disposer d’un registre de traitement
• Assurer la transparence en informant clairement les personnes dont les données sont collectées
• Assurer la sécurité des données personnelles collectées et stockées, conformément à l’article 32 du RGPD
• Identifier les risques d’un traitement de données. Par exemple en fonction de la quantité et du type de données collectées, il peut être pertinent voire obligatoire de mener une analyse d’impact

Un contrôle de la CNIL peut être de 4 formes :

• un contrôle sur place
• une audition sur convocation
• un contrôle en ligne
• un contrôle sur pièces

Seule l’audition sur convocation fait l’objet d’une notice préalable au contrôle.

Lors d’un contrôle sur place, une délégation se déplace dans les locaux du responsable de traitement ou du sous-traitant. Le contrôle en ligne est un contrôle fait de manière anonyme par la CNIL, en ligne.

Enfin, le contrôle sur pièces est un questionnaire adressé par courrier au responsable des traitements ou au sous traitant. Ces 4 formes peuvent être complément et débouchent sur la rédaction d’un procès verbal.

Un contrôle de la CNIL peut être déclenché par des plaintes qu’elle reçoit, des signalements de tiers ou sur une décision qui lui est propre selon les cas.

Les signalements et plaintes peuvent être effectués par tous les utilisateurs en interne et en externe.

Outre les amendes administratives, la CNIL peut également prononcer les sanctions suivantes :

• Rappel à l’ordre
• Injonction de mettre le traitement en conformité, éventuellement sous astreinte
• Limitation temporaire ou définitive du traitement considéré
• Suspension du flux de données
• Injonction de répondre aux demandes d’exercice de droit des personnes concernées, éventuellement sous astreinte
• Les sanctions de la CNIL peuvent être rendues publiques

Une sanction de la CNIL peut impacter l’image de marque de l’entreprise et la confiance accordée par les consommateurs.

Data Legal Drive possède un modèle PIA optérable avec celui de la CNIL.

Vous pouvez à tout moment exporter l’intégralité de vos données renseignées dans le logiciel Data Legal Drive au format PDF pour les transmettre à la CNIL en cas de contrôle.

Bien essayé ! Mais non… Souscrire et utiliser un logiciel RGPD ne prouve pas votre conformité au RGPD.

Pour prouver votre conformité au RGPD, il faut rassembler des documents actualisés.

En ce sens, un outil de conformité RGPD vous permettra de réunir tous ces éléments au même endroit, de les remplir correctement et de vous faciliter les démarches en vous guidant et en mettant à votre disposition des documents types et modèles.

Pour prouver votre conformité, il vous sera demandé par la CNIL vos traitements de données personnelles, à savoir vos registres de traitements, les analyses d’impacts, l’encadrement des transferts en dehors de l’Union Européenne.

Les documents liés aux personnes concernées par votre activité vous seront également demandés, c’est-à-dire, les mentions d’information, les modèles de recueil du consentement ou encore les procédures appliquées pour l’exercice des droits.

Enfin, les contrats en lien avec vos sous-traitants et éventuelles procédures internes liées à des violations de données pourront vous être réclamées.

Le logiciel RGPD n’est qu’un outil venant dans un premier temps vous aider à vous mettre en conformité et dans un second temps simplifier le maintien de votre conformité dans le temps, via la mise à jour de votre registre.

Vous avez la possibilité de créer des analyses d’impact dans le logiciel DLD ou d’importer vos PIA antérieurs réalisés sur l’outil de la CNIL.

Oui, le module PIA de DLD permet d’importer des PIA qui auraient été réalisés sur l’outil de la CNIL.

Ils permettent également d’exporter des PIA réalisés sur DLD afin que ces derniers soient réimportés dans l’outil de la CNIL.

Toutes les entreprises et organisations européennes qui collectent des données sont concernées par les réglementations RGPD.

En revanche, les organismes et entreprises qui ont des activités au sein de l’Union Européenne sont également concernées.