GDPR

Le GDPR a remplacé la directive de 1995 sur la protection des données et s'applique à toute organisation qui traite les données personnelles de personnes situées dans l'Union européenne et l'Espace économique européen, quel que soit le lieu où l'organisation elle-même est établie. Cette portée extraterritoriale signifie qu'une entreprise située n'importe où dans le monde peut relever du règlement si elle cible des résidents de l'UE ou surveille leur comportement.

En son cœur, le règlement exige que tout acte de traitement de données personnelles repose sur l'une des six bases légales : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public ou intérêts légitimes. Il consacre également des principes tels que la limitation des finalités, la minimisation des données, la limitation de la conservation, l'exactitude et la responsabilité, et accorde aux individus des droits comme l'accès, la rectification, l'effacement, la portabilité et l'opposition.

L'application relève des autorités de contrôle nationales (autorités de protection des données), coordonnées par l'intermédiaire du Comité européen de la protection des données. Les sanctions pour les infractions graves peuvent atteindre jusqu'à 20 millions d'euros ou 4 pour cent du chiffre d'affaires annuel mondial total d'une entreprise, le montant le plus élevé étant retenu, ce qui explique pourquoi la conformité est devenue une préoccupation au niveau du conseil d'administration pour les entreprises mondiales.

Pour des techniques telles que l'empreinte numérique d'appareil et l'analytique, le GDPR interagit avec la directive ePrivacy (la fameuse « loi sur les cookies »). Lire ou écrire des informations sur l'appareil d'un utilisateur nécessite généralement un consentement, sauf si cela est strictement nécessaire à un service demandé par l'utilisateur, tandis que le traitement en aval de toute donnée personnelle qui en résulte doit tout de même satisfaire aux exigences de base légale et de transparence du GDPR.