Règlement général sur la protection des données (RGPD) et loi britannique sur la protection des données (DPA) de 2018

Le Royaume-Uni dispose de son propre cadre de protection des données qui régit la manière dont les organisations collectent, utilisent et gèrent les données personnelles. Ce cadre repose sur deux textes législatifs clés : le Règlement général sur la protection des données (RGPD) et la loi de 2018 sur la protection des données (DPA).

Le RGPD britannique est entré en vigueur après le Brexit, remplaçant le RGPD de l'UE Au Royaume-Uni, bien qu'elle reprenne la réglementation de l'UE dans de nombreux domaines, la version britannique offre au gouvernement la flexibilité nécessaire pour introduire des modifications adaptées aux priorités nationales.

La loi britannique sur la protection des données de 2018 (DPA 2018) complète le RGPD britannique en tant que législation nationale sur la protection des données au Royaume-Uni. Elle couvre des domaines spécifiques non pris en charge par le RGPD britannique, tels que les exceptions relatives à l'application de la loi, à la sécurité publique et à la sécurité nationale.

Le RGPD et la loi britannique sur la protection des données de 2018 (DPA 2018) créent un système complet pour la protection des informations personnelles dans différentes situations, et le respect des deux est obligatoire pour les organisations traitant des données personnelles au Royaume-Uni.

Qu’est-ce que le RGPD britannique ?

Le RGPD britannique est la principale loi régissant le traitement des données personnelles au Royaume-Uni. Il s'applique à toute organisation, qu'elle soit établie au Royaume-Uni ou à l'étranger, qui collecte, stocke ou traite des informations personnelles de résidents britanniques, que ce soit via des systèmes numériques ou des documents papier.

Entrée en vigueur le 1er janvier 2021, après la sortie du Royaume-Uni de l'UE, la réglementation britannique RGPD a été établie par le biais du règlement de 2019 sur la protection des données, la vie privée et les communications électroniques (modifications, etc.) (sortie de l'UE). Elle conserve les idées fondamentales du RGPD de l'UE, entré en vigueur dans toute l'Europe en 2018, en mettant l'accent sur un traitement des données licite, équitable et transparent.

Le RGPD britannique protège les droits individuels en établissant des règles claires pour une utilisation responsable des données, qu'il s'agisse des informations clients ou des dossiers des employés. Bien qu'il soit aligné sur le RGPD européen, il permet des modifications ultérieures afin de répondre aux besoins spécifiques du Royaume-Uni ; les organisations doivent donc se tenir informées des mises à jour pour rester conformes.

Cette loi favorise la confiance en exigeant des organisations qu'elles traitent les renseignements personnels avec soin, en conciliant responsabilité et utilisation pratique des données.

Qu’est-ce que la loi sur la protection des données (DPA) de 2018 ?

La loi britannique sur la protection des données de 2018 (DPA 2018) complète le RGPD britannique afin de constituer un cadre complet de protection des données pour le Royaume-Uni. Elle ajoute des règles spécifiques adaptées aux besoins juridiques et politiques du Royaume-Uni, couvrant les domaines où le RGPD britannique seul est insuffisant.

La loi DPA 2018 traite de situations particulières, telles que :

• Traitement des données à des fins de maintien de l'ordreCe document définit des règles distinctes régissant le traitement des données personnelles par la police et les organismes de justice pénale. Il établit un équilibre entre le droit à la vie privée et la sécurité publique.
• Contrôle de l'immigration : Elle introduit des exemptions spécifiques relatives aux questions d'immigration.
• Sécurité nationaleElle prévoit certaines exemptions lorsque le traitement des données concerne les services de sécurité ou de renseignement.

En outre, la loi britannique sur la protection des données de 2018 (DPA 2018) définit les rôles et les pouvoirs du Bureau du commissaire à l'information (ICO), l'autorité indépendante de protection des données du Royaume-Uni chargée de faire appliquer les lois sur la protection des données, d'enquêter sur les violations et de fournir des conseils aux organisations.

La loi britannique sur la protection des données de 2018 (DPA 2018) précise également les règles de traitement des données sensibles, telles que les informations concernant les enfants, et définit les bases légales de l'utilisation des données dans des cas spécifiques. Conjointement au RGPD britannique, elle constitue un système clair que les organisations doivent respecter pour exercer leur activité en toute légalité.

RGPD britannique vs DPA 2018 : Quelle est la différence ?

Le RGPD britannique et la loi britannique sur la protection des données de 2018 (DPA 2018) présentent certains points communs. Toutefois, chaque loi remplit une fonction différente au sein du cadre plus large de la protection des données.

Le RGPD britannique définit les principaux principes, droits et obligations relatifs au traitement des données personnelles. Reprenant la structure du RGPD européen, il met l'accent sur une utilisation équitable, licite et transparente des données. Il protège les droits individuels et encourage la responsabilité des organisations.

La loi britannique sur la protection des données de 2018 (DPA 2018) complète le RGPD britannique en y ajoutant des dispositions spécifiques au contexte juridique et politique du Royaume-Uni. Elle précise les modalités d'application du RGPD britannique dans certains cas et introduit des règles supplémentaires lorsque cela s'avère nécessaire.

‍Principales différences

Les principales différences entre le RGPD britannique et la loi britannique sur la protection des données de 2018 sont les suivantes :

• Traitement des données relatives à l'application de la loi et à la justice pénale : La loi de 2018 sur la protection des données (DPA 2018) comporte une section dédiée au traitement des données personnelles à des fins de maintien de l'ordre. Ces règles visent à concilier sécurité publique et protection de la vie privée.
• exemptions pour raisons de sécurité nationaleLa loi de 2018 sur la protection des données (DPA 2018) prévoit des exemptions spécifiques pour le traitement des données personnelles liées à la sécurité nationale, aux services de renseignement et aux activités connexes.
• Traitement des données de catégorie spéciale : Ces deux lois imposent des exigences strictes en matière de traitement des données sensibles, telles que les informations de santé, l'origine raciale ou ethnique et les opinions politiques. Cependant, la loi britannique sur la protection des données de 2018 (DPA 2018) précise davantage comment ces règles s'appliquent au Royaume-Uni.
• Codes de pratique de l'ICOLa loi de 2018 sur la protection des données (DPA 2018) confère à l'ICO le pouvoir de publier des codes de pratique et des lignes directrices aidant les organisations à appliquer la loi dans la pratique.

Les organisations doivent respecter les deux lois simultanément, car le respect d'une seule créerait des lacunes, risquant des sanctions et une perte de confiance.

Qui est tenu de se conformer au RGPD et à la loi britannique sur la protection des données de 2018 ?

Le RGPD britannique et la loi britannique sur la protection des données de 2018 (DPA 2018) s'appliquent à un large éventail d'organisations qui traitent des données personnelles. Ces lois visent à protéger le droit à la vie privée des individus et définissent des règles claires concernant la collecte, le stockage et l'utilisation des informations personnelles.

Les deux lois s'appliquent à :

• organisations basées au Royaume-UniToute organisation établie au Royaume-Uni qui traite des données personnelles est tenue de s'y conformer. Cela concerne les entreprises, les autorités publiques, les associations caritatives et autres organisations, quels que soient leur taille ou leur secteur d'activité.
• Organisations non britanniquesCes règles s'appliquent également aux organisations établies hors du Royaume-Uni si elles proposent des biens ou des services à des particuliers au Royaume-Uni (même gratuitement) ou si elles surveillent le comportement de particuliers au Royaume-Uni.

Les types de données concernés sont les suivants :

• Traitement automatisé des données (par exemple, bases de données clients et systèmes CRM).
• Supports de données structurées (par exemple, fichiers organisés ou feuilles de calcul).
• Certaines données non structurées, notamment celles détenues par les autorités publiques.

En résumé, les organisations des secteurs privé et public, quel que soit leur lieu d'établissement, peuvent être soumises à ces lois si elles traitent des données personnelles de résidents britanniques.

Quelles sont les données considérées comme personnelles au sens du RGPD et de la DPA britanniques ?

Le RGPD britannique et la loi britannique sur la protection des données de 2018 (DPA 2018) définissent les données personnelles comme toute information se rapportant à une personne physique identifiable. Cela inclut les informations permettant d'identifier une personne directement, comme son nom, ou indirectement lorsqu'elles sont combinées à d'autres données.

Voici quelques exemples de données personnelles :

• Nom et coordonnées.
• Numéros d'identification (par exemple, numéro d'assurance nationale ou numéro de passeport).
• Données de localisation et identifiants en ligne (par exemple, adresses IP).
• Données biométriques et génétiques utilisées pour identifier les individus.

Si des informations peuvent être utilisées pour identifier une personne, seules ou combinées à d'autres données, elles sont considérées comme des données personnelles en vertu de la loi britannique.

Certaines données personnelles sont considérées comme plus sensibles et nécessitent des protections supplémentaires. Il s'agit des données dites de catégorie spéciale, qui comprennent notamment :

• Origine raciale ou ethnique.
• Croyances religieuses ou philosophiques.
• Opinions politiques.
• Adhésion syndicale.
• Informations sanitaires.
• Données génétiques et biométriques utilisées à des fins d'identification.
• Détails concernant la vie sexuelle ou l'orientation sexuelle d'une personne.

Les organisations doivent disposer d'une base juridique plus solide pour traiter les données à caractère sensible, et des garanties supplémentaires s'appliquent souvent.

Il est également important de préciser ce qui constitue concrètement un « traitement » au sens du RGPD et de la loi britannique sur la protection des données de 2018 (DPA 2018). Essentiellement, il s’agit de toute opération effectuée sur des données personnelles, telle que :

• Collecte
• Stockage
• Organiser
• En utilisant
• Partage
• Supprimer ou détruire

Les lois s'appliquent aussi bien au traitement automatisé (comme les enregistrements numériques) qu'aux systèmes de classement manuel si les données personnelles sont organisées de manière structurée.

Quels sont les 7 principes de la protection des données ?

Le RGPD britannique énonce sept principes fondamentaux qui encadrent le traitement des données personnelles par les organisations. Ces principes constituent le socle du système de protection des données du Royaume-Uni et s'appliquent à tous les traitements de données.

Les 7 principes de la protection des données

1. Légalité, équité et transparence

Les données doivent être traitées de manière licite et loyale, avec des informations claires fournies aux personnes concernées quant à leur utilisation, par exemple au moyen de mentions d'information sur la protection des données.

2. Limites de l'objectif

Les données ne doivent être collectées que pour des finalités spécifiques et claires et ne doivent pas être utilisées à des fins incompatibles avec ces finalités, sauf consentement de la personne concernée.

3. minimisation des données

minimisation des données Les organisations ne collectent que les données personnelles dont elles ont réellement besoin pour les finalités qu'elles déclarent. Par exemple, elles demandent le nom et l'adresse d'un client pour lui livrer un produit, sans exiger de renseignements superflus.

4. Précision

Des mesures raisonnables doivent être prises pour garantir l'exactitude et la mise à jour des données personnelles. Cela inclut notamment la mise à disposition de moyens permettant aux personnes de corriger des informations de contact inexactes.

5. Limites de stockage

Les données personnelles ne doivent pas être conservées plus longtemps que nécessaire aux fins pour lesquelles elles ont été collectées. Par exemple, les organisations doivent supprimer les anciens dossiers clients qui ne sont plus nécessaires pour des raisons commerciales ou légales.

6. Intégrité et confidentialité (sécurité)

Des mesures de sécurité appropriées doivent être mises en place pour protéger les données personnelles contre tout accès non autorisé, perte ou altération. Cela inclut le recours au chiffrement pour protéger les informations sensibles stockées sur les systèmes de l'entreprise.

7. Responsabilité

Les organisations doivent démontrer leur conformité en tenant des registres de leurs activités liées aux données et en formant leur personnel.

Ces sept principes s'appliquent à toutes les organisations traitant des données personnelles et constituent la base d'une approche licite et transparente en matière de protection des données.

Droits des personnes concernées par le RGPD et la loi britannique sur la protection des données de 2018

Le RGPD et la loi britannique sur la protection des données de 2018 (DPA 2018) confèrent aux individus des droits clairs sur leurs données personnelles et un meilleur contrôle sur la manière dont ces informations sont collectées, utilisées et partagées.

Les organisations doivent comprendre et respecter ces droits. Elles doivent également répondre aux demandes des particuliers dans les délais impartis.

Voici les principaux droits des personnes concernées dont les organisations et les individus doivent être conscients :

• Droit à l'informationLes individus ont le droit de savoir comment leurs données personnelles sont utilisées. Les organisations doivent fournir des informations claires, généralement par le biais de mentions d'information sur la protection des données.
• Droit d'accèsToute personne peut demander l'accès aux données personnelles qu'une organisation détient à son sujet. Cette demande est souvent appelée « demande d'accès aux données » (DAD). L'organisation est tenue de fournir les informations, généralement dans un délai d'un mois.
• Droit à rectification : Si des données personnelles sont incorrectes ou incomplètes, les personnes concernées peuvent demander leur rectification.
• Droit à l'effacement (droit à l'oubli) : Dans certaines situations, une personne peut demander la suppression de ses données personnelles. Ce droit s'applique, par exemple, lorsque les données ne sont plus nécessaires à la finalité initiale ou lorsque le consentement a été retiré.
• Droit de restreindre le traitementLes personnes concernées peuvent demander que leurs données ne soient conservées et utilisées à d'autres fins que dans des circonstances spécifiques, par exemple lorsque l'exactitude des données est contestée.
• Droit à la portabilité des donnéesLes personnes peuvent demander à recevoir leurs données personnelles dans un format structuré, couramment utilisé et lisible par machine. Elles peuvent également demander le transfert de ces données à un autre organisme.
• Droit d'oppositionLes individus peuvent s'opposer à l'utilisation de leurs données personnelles à certaines fins, notamment le marketing direct.
• Droits relatifs à la prise de décision automatisée et au profilageLes personnes bénéficient de protections lorsque les décisions sont prises exclusivement par des processus automatisés, notamment si la décision a des conséquences importantes (par exemple, l'admissibilité à un crédit ou à un emploi).

La loi de 2018 sur la protection des données (DPA 2018) introduit des exceptions à certains droits dans des situations spécifiques, notamment :

• Données traitées à des fins de maintien de l'ordre
• Données traitées à des fins de contrôle de l'immigration
• Traitement lié à la sécurité nationale

Dans ces cas, certains droits peuvent être limités afin de concilier le respect de la vie privée individuelle et les exigences d'intérêt public ou de sécurité.

Principales obligations des entreprises en vertu du RGPD et de la loi britannique sur la protection des données de 2018

Les organisations, les organismes publics, les associations caritatives et autres groupes et entreprises qui traitent des données personnelles au Royaume-Uni doivent respecter des obligations spécifiques en vertu du RGPD britannique et de la loi britannique sur la protection des données de 2018.

Établir une base légale pour le traitement

Les organisations doivent avoir un motif légitime pour collecter et utiliser des données personnelles. Les bases légales prévues par le RGPD britannique incluent :

• Consentement de la personne
• Exécuter un contrat
• Protéger les intérêts vitaux (par exemple, sauver une vie)
• Respecter une obligation légale
• Accomplir une tâche d'intérêt public
• Intérêts légitimes poursuivis par l'organisation ou un tiers (sauf s'ils sont supplantés par des droits individuels)

Mettre en œuvre des mesures de sécurité des données

Des mesures techniques et organisationnelles appropriées doivent être mises en œuvre pour protéger les données personnelles. Cela inclut le recours au chiffrement, le contrôle d'accès aux systèmes et la protection des données contre la perte ou l'utilisation non autorisée.

Désignez un délégué à la protection des données (DPO) si nécessaire.

Certaines organisations doivent désigner un DPO, notamment si elles :

• Sont une autorité publique
• Mettre en œuvre une surveillance à grande échelle des individus
• Traiter de grands volumes de données de catégories spéciales

Tenir à jour les registres des activités de traitement (ROPA)

La plupart des organisations doivent tenir des registres internes des données personnelles qu'elles traitent, de leur utilisation et du fondement juridique du traitement. Cela permet de démontrer leur responsabilité.

Réaliser des analyses d'impact relatives à la protection des données (AIPD) pour les traitements à haut risque

Si une organisation effectue un traitement susceptible d'engendrer un risque élevé pour les droits d'une personne, elle doit réaliser une analyse d'impact relative à la protection des données (AIPD) avant de commencer cette activité. Par exemple, une AIPD est requise lorsqu'une entreprise utilise des données sensibles à grande échelle ou procède à un profilage.

Répondre aux demandes d'accès aux données et de droits y afférents

Les organismes doivent répondre aux demandes des personnes exerçant leurs droits en vertu de la législation sur la protection des données, telles que les demandes d'accès ou de rectification. Dans la plupart des cas, la réponse doit être apportée dans un délai d'un mois.

Le non-respect de ces responsabilités par une organisation peut entraîner des mesures coercitives, une atteinte à sa réputation et des sanctions importantes.

Comment gérer les violations de données en vertu du RGPD britannique

Une violation de données personnelles peut survenir lorsque des informations sont perdues, consultées sans autorisation, modifiées ou détruites. En vertu du RGPD britannique, les organisations doivent suivre une procédure claire pour réagir à de tels incidents.

En cas de violation de données, voici les étapes que les organisations doivent suivre :

• Notifier l'ICO dans les 72 heures : Si une violation crée un risque pour les droits ou libertés des individus, l'organisation doit la signaler à l'ICO dans les 72 heures suivant sa découverte.
• Informer personnes concernées : Si la violation est susceptible d'entraîner un risque élevé pour les personnes, l'organisation doit également en informer les personnes concernées sans délai indu.
• Documentez la brècheMême si une violation de données n'a pas à être signalée, les organisations doivent conserver des enregistrements internes de ce qui s'est passé, de la manière dont cela a été géré et des mesures correctives prises.
• Comprendre les rôles et les responsabilités : En cas de violation de données, les responsables du traitement et les sous-traitants ont tous deux des responsabilités. Les sous-traitants doivent en informer le responsable du traitement sans délai, et ce dernier est chargé d'évaluer l'impact de la violation et de décider des mesures à prendre.

La préparation aux violations de données devrait être un élément central de toute organisation. préparation à la conformitéCela implique de mettre en place des procédures claires, des plans d'intervention et une formation du personnel afin de gérer efficacement les incidents et de réduire les dommages potentiels.

Transferts internationaux de données en vertu du droit britannique

Le RGPD britannique encadre strictement les transferts de données personnelles vers des pays hors du Royaume-Uni. Ces règles visent à garantir la protection des informations des individus lorsqu'elles quittent le cadre juridique britannique.

Les organisations doivent utiliser des mesures de protection appropriées, sauf si la destination est jugée adéquate par le gouvernement britannique.

Voici les mécanismes juridiques applicables aux transferts internationaux :

• Décisions d'adéquationLe gouvernement britannique peut décider qu'un pays, un territoire ou une organisation internationale assure un niveau de protection des données comparable aux normes britanniques. Les transferts vers ces destinations sont autorisés sans mesures supplémentaires.
• Clauses contractuelles types (CCT)Les clauses contractuelles types (CCT) sont des accords juridiques approuvés par le gouvernement britannique. Elles définissent les obligations contractuelles visant à protéger les données personnelles lors de leur transfert vers des pays ne bénéficiant pas d'une décision d'adéquation.
• Accords internationaux de transfert de données (AITD) : Les contrats de transfert de données à l'international (IDTA) sont conçus sur mesure pour les organisations britanniques qui transfèrent des données à l'étranger. Ils constituent une alternative aux clauses contractuelles types (SCL), offrant un ensemble standard de clauses pour protéger les données personnelles.
• Règles d'entreprise contraignantes (BCR) : Les BCR permettent aux organisations multinationales de transférer des données au sein de leur groupe. Cependant, elles ne peuvent le faire que si elles disposent de politiques approuvées et applicables conformes au RGPD britannique.

Dans certains cas exceptionnels, les organisations peuvent transférer des données personnelles sans ces mécanismes. Par exemple :

• Le consentement explicite de la personne est donné après qu'elle a été informée des risques potentiels.
• Ce transfert est nécessaire à l'exécution d'un contrat.
• Il existe des raisons importantes d'intérêt public.

Les transferts internationaux comportent des risques juridiques et de réputation. Les organisations doivent donc évaluer soigneusement la situation et mettre en œuvre les mesures de protection appropriées.

Application et sanctions

L'ICO (Information Commissioner's Office) est chargée de faire appliquer le RGPD et la loi britannique sur la protection des données de 2018 (DPA 2018). Elle est habilitée à enquêter sur les organisations, à publier des recommandations et à prendre des mesures en cas d'infraction. Ses pouvoirs spécifiques comprennent :

• Enquêter sur les plaintes ou les cas présumés de non-conformité.
• Réaliser des audits et des inspections.
• Émettre des avertissements ou des réprimandes.
• Imposer des amendes en cas de violation de la loi sur la protection des données.

L'ICO peut infliger des amendes importantes en fonction de la gravité de l'infraction :

• Jusqu'à 8,7 millions de livres sterling ou 2 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu) pour les infractions les moins graves.
• Pour les infractions les plus graves, l'amende peut atteindre 17,5 millions de livres sterling ou 4 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu). Cela inclut notamment le traitement illicite des données ou le non-respect des droits des personnes.

Les organisations sont souvent passibles de sanctions pour :

• Collecte ou utilisation de données personnelles sans consentement approprié.
• Ne pas mettre en œuvre de mesures de sécurité adéquates pour protéger les données.
• Ignorer les demandes d’accès aux données (DSAR) ou ne pas y répondre dans les délais impartis.

Les autorités de réglementation attendent des organisations qu'elles prennent la protection des données au sérieux. Le non-respect des obligations légales peut entraîner des sanctions financières, une atteinte à la réputation et des poursuites judiciaires.

Comment élaborer un programme de protection des données conforme

La mise en place d'un programme efficace de protection des données aide les organisations à respecter leurs obligations en vertu du RGPD britannique et de la loi britannique sur la protection des données de 2018 (DPA 2018).

Voici les principales étapes pour favoriser la conformité :

• Créez une politique de confidentialité claire et concise : Votre politique de confidentialité doit expliquer quelles données personnelles vous collectez, comment vous les utilisez, la base juridique de leur traitement et comment les personnes peuvent exercer leurs droits.
• Former le personnel aux responsabilités et au traitement des données : Toute personne impliquée dans le traitement des données personnelles doit comprendre son rôle. Cela inclut la capacité à identifier et à signaler les risques ou violations potentiels.
• Mettre en œuvre des processus de gestion des fournisseurs : Les organisations doivent évaluer et gérer les risques liés aux fournisseurs tiers qui traitent des données personnelles. Cela implique la mise en place de contrats clairs et de clauses de protection des données.
• Effectuer des évaluations des risques liés aux données: Un régulier évaluation des risques liés aux données aide les organisations à identifier les vulnérabilités, à évaluer la probabilité d'incidents et à appliquer les contrôles appropriés pour protéger les données personnelles.
• Conserver les registres et les pistes d'auditLa tenue de registres précis des activités de traitement des données témoigne de la responsabilité. Cela inclut la documentation des bases légales du traitement, des flux de données et des mesures de sécurité.
• Surveillez les mises à jour du RGPD britannique et des directives de la DPA de 2018La législation sur la protection des données évolue constamment. Les organisations doivent consulter régulièrement les mises à jour de l'ICO et revoir leurs processus internes afin de tenir compte des changements de la réglementation.

En adoptant ces pratiques, les organisations peuvent se conformer aux normes légales, protéger les données personnelles et instaurer un climat de confiance avec leurs utilisateurs, clients et consommateurs.