Pour les PME-TPE, l'annonce de l'entrée en vigueur du RGPD donne des cauchemars à leurs dirigeants. Pourtant, ce n'est pas un grand saut dans le vide. Des solutions pragmatiques existent pour les entreprises qui n'ont pas des ressources internes suffisantes.

Le RGPD organise de subtils équilibres entre les modalités du consentement de la personne concernée à l'accès aux données personnelles la concernant, la finalité de cet accès et la nature des données concernées. Des solutions existaient avec la directive 95/46 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Mais ces solutions seront-elles encore applicables à partir de mai 2018 ?

Données à caractère particulier : ce qui change

Pour certaines données, le RGPD prévoit un régime d'interdiction sauf certaines exceptions expressément prévues. Parmi ces exceptions - c'est-à-dire la finalité du traitement - figure l'action en justice.

Article 9 du RGPD - Traitement portant sur des catégories particulières de données

L'article 9.1 du RGPD interdit le traitement des données à caractère personnel qui révèle :

• L'origine raciale ou ethnique
• Les opinions politiques
• Les convictions religieuses ou philosophiques
• L'appartenance syndicale
• Les données génétiques
• Les données biométriques aux fins d'identifier une personne de manière unique
• Les données concernant la santé
• Les données concernant la vie sexuelle ou l'orientation sexuelle

Ces interdictions peuvent être levées dans des cas précis énumérés à l'article 9.2, notamment :

"f) le traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle;"

Parallèle avec l'article 8 de la directive 95/46

De telles données étaient déjà placées sous un régime d'interdiction d'accès à l'article 8 de la directive 95/46 du 24 octobre 1995, avec le tempérament de l'action en justice au point e :

Principes relatifs à la légitimation des traitements : Article 7 de la directive 95/46

Pour les données non particulières, qu'en est-il ? Leur accès est-il limité au consentement de la personne concernée même quand un tiers veut engager une action en justice et qui pour cette action a besoin de cette donnée personnelle ?

L'article 7 de la directive 95/46 disposait :

"Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si :
a) la personne concernée a indubitablement donné son consentement
ou
[...]
f) il est nécessaire à la réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l'intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l'article 1er paragraphe 1."

Implications pour le consentement après le RGPD

Si la directive n'obligeait pas cette communication de données personnelles à un tiers pour qu'il engage une action en justice, l'accord de la personne concernée était requis sauf si une loi nationale en avait disposé autrement.

Considérations pour les PME et TPE

Pour les entreprises, en particulier les PME et TPE qui disposent de ressources limitées, il est essentiel de comprendre ces subtilités. Le RGPD reprend en grande partie les principes de la directive 95/46, mais avec des nuances importantes concernant le consentement et l'accès aux données personnelles.

La mise en conformité nécessite une analyse approfondie des processus de traitement des données et une vérification des bases juridiques invoquées pour chaque traitement.