La conformité au RGPD s'applique-t-elle aux entreprises américaines ?

En mai 2018, l'Union européenne a promulgué l'un des ensembles de règles les plus strictes au monde pour la protection des données personnelles. Le nom officiel de cette législation est le General Data Protection Regulation, mais il est plus communément appelé le GDPR.

Le RGPD réglemente les données personnelles, qui sont définies comme toute information pouvant identifier un individu, appelé « sujet de données ». Les entreprises concernées doivent se conformer aux souhaits des sujets de données concernant la manière dont leurs données personnelles sont traitées, ainsi que tenir des registres de la façon dont ce traitement est effectué.

Cet article répond à la question : quand et comment le RGPD s'applique-t-il aux entreprises et aux citoyens américains ? Il couvre les exigences fondamentales de l'acte et les spécificités de l'application du RGPD que chaque entreprise basée aux États-Unis devrait connaître.

La portée des données personnelles selon cette définition est nettement plus large que la plupart des normes de conformité américaines, qui tendent à protéger uniquement les données pouvant être utilisées pour commettre une fraude. En plus des noms et des numéros d'identification gouvernementaux, le GDPR protège également les informations qui peuvent être reliées à l'identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale d'une personne.

Le RGPD en un coup d'œil

Quelles données le RGPD protège-t-il ?

Le RGPD est conçu pour donner aux citoyens de l'UE plus de contrôle sur les données personnelles que les organisations collectent, traitent et stockent à leur sujet. La portée du terme « données personnelles » sous le RGPD est considérablement plus large que la plupart des lois de conformité américaines, qui tendent à protéger uniquement les données pouvant être utilisées pour commettre une fraude. En plus des noms et des numéros d'identification gouvernementaux, le RGPD protège également les informations qui peuvent être reliées à l'« identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale » d'une personne, telles que leur adresse IP et les données de leurs cookies de navigateur.

Le RGPD s'applique-t-il aux citoyens de l'UE vivant aux États-Unis ?

Non. Le RGPD fait spécifiquement référence aux «sujets de données qui se trouvent dans l'Union». Si un citoyen de l'UE réside aux États-Unis, le RGPD ne s'applique pas. Il s'agit d'une distinction importante à prendre en compte si l'ensemble ou la quasi-totalité des activités d'une entreprise se déroulent dans des établissements physiques sur le sol américain.

Cette catégorie englobe plus d'organisations que vous ne pourriez le penser. Selon le groupe de recherche Clutch.co, 36 % des petites entreprises n'ont aucun type de site web. Par conséquent, il est beaucoup plus facile pour ces entreprises de déterminer si elles font affaire avec des résidents de l'UE.

Le RGPD s'applique-t-il aux citoyens américains ?

C'est possible. Le RGPD protège les informations de toute personne vivant dans l'UE. Par conséquent, si un citoyen américain réside dans un pays de l'UE au moment où une entreprise collecte des informations à ce sujet, le RGPD s'appliquera à ces données.

Le RGPD ne s'applique pas aux citoyens américains vivant aux États-Unis, mais il existe plusieurs réglementations fédérales et étatiques sur la vie privée aux États-Unis qui offrent des protections similaires. En particulier, le California Privacy Protection Act (CalOPPA) et la California Consumer Privacy Act (CCPA) régissent la collecte des « informations personnelles identifiables » de toute personne résidant dans l'État de Californie (ce qui inclut les résidents californiens qui sont citoyens de l'UE).

De même, le Children’s Online Privacy Protection Act (COPPA) réglemente la collecte, l'utilisation et la distribution des données appartenant à tout enfant de moins de 13 ans, quelle que soit sa nationalité, tant qu'il se trouve aux États-Unis au moment où ses informations sont collectées.

Comment le RGPD affecte-t-il les entreprises américaines ?

Contrairement aux réglementations de conformité spécifiques à l'industrie aux États-Unis telles que HIPAA pour la médecine et GLBA pour la finance, le GDPR est un règlement général de data privacy qui s'applique à toutes les organisations, publiques et privées, qui stockent ou traitent les données personnelles des résidents de l'UE. Cela signifie que de nombreuses entreprises américaines sont soumises à la réglementation.

Toutefois, le RGPD reconnaît que certaines entreprises non européennes font des affaires avec les citoyens de l'UE uniquement de manière incidente. Selon le considérant 23, les entreprises étrangères sont tenues de se conformer au RGPD uniquement si elles ciblent les résidents de l'UE avec leur marketing. Par exemple, si vous avez un site web localisé dans la langue d'un État membre de l'UE et/ou que vous affichez des prix en euros, il serait supposé que vous ciblez les citoyens de l'UE et par conséquent, vous seriez soumis au RGPD.

En général, vous pourriez être tenu responsable si l'une des conditions suivantes est vraie :

• Vous traitez régulièrement les données des résidents de l'UE.
• Les droits et libertés de ces sujets de données peuvent être à risque.
• Vous traitez des informations liées aux catégories particulières de données, y compris l'état de santé, les origines raciales ou ethniques, l'orientation sexuelle ou les croyances religieuses.

Le RGPD s'applique-t-il aux agences gouvernementales américaines et autres organisations du secteur public ?

Techniquement, le RGPD s'applique à toutes les organisations, publiques et privées, dans le monde entier. En pratique, cependant, seules certaines agences gouvernementales américaines sont susceptibles de

Le RGPD contrôle les activités de traitement des données personnelles uniquement si ce traitement sert à l'une des deux fins suivantes :

• Offrant des biens ou services
• Surveillance du comportement d'un sujet de données tel qu'il se produit au sein de l'Union européenne

Par conséquent, de nombreuses organisations du secteur public ne sont pas soumises au GDPR. Certains organismes fédéraux, y compris le Department of Homeland Security et le State Department, peuvent avoir des raisons de collecter des données personnelles sur des citoyens de l'UE et de les utiliser pour surveiller le comportement. De même, si un office de tourisme d'un État collectait des données dans le but de se faire connaître auprès des citoyens de l'UE, ou si un collège d'État recueillait des informations sur un étudiant potentiel, le GDPR serait applicable. Mais la plupart des autres agences gouvernementales, y compris celles qui collectent des données liées aux intérêts commerciaux des citoyens de l'UE, sont peu susceptibles d'être soumises au GDPR

Quelles sont les exigences les plus importantes du RGPD pour les entreprises américaines ?

Toute organisation, qu'elle soit du secteur privé ou public, qui stocke ou traite des informations personnelles concernant les résidents de l'UE doit se conformer au RGPD, même si elle n'a pas de présence physique au sein de l'UE. Les exigences les plus importantes sont expliquées ci-dessous.

Exigences pour les contrôleurs et les processeurs

Les exigences du RGPD dépendent du fait que vous agissez en tant que Responsable du traitement ou Sous-traitant :

• Les responsables du traitement définissent les finalités et les moyens du traitement des données personnelles. Ils doivent mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir et de démontrer que le traitement des données personnelles est effectué conformément au RGPD.
• Les processeurs traitent les données personnelles selon les instructions documentées d'un Contrôleur. Les processeurs peuvent être des groupes internes qui maintiennent et traitent les registres de données personnelles, ou une entreprise d'externalisation qui effectue tout ou partie de ces activités.

Le RGPD tient les Contrôleurs et les Processeurs responsables des violations de ses dispositions. Par conséquent, il est possible que votre entreprise et un partenaire de traitement des données, tel qu'un fournisseur de cloud, soient responsables d'amendes et d'autres sanctions en vertu du RGPD, même si la faute incombe entièrement à votre partenaire de traitement.

Exigences pour les contrats de traitement des données

Le RGPD exige que les Contrôleurs et les Processeurs concluent un contrat juridiquement contraignant lorsqu'un Contrôleur engage un Processeur pour traiter des données personnelles en son nom. Les Contrôleurs sont tenus d'utiliser uniquement des Processeurs qui offrent des garanties suffisantes de disposer de mesures techniques et organisationnelles appropriées pour se conformer au RGPD. Ces mesures doivent être détaillées dans la politique de Data Security Posture Management de l'organisation.

L'article 28 détaille ce qui doit être inclus dans un Contrat de Traitement des Données entre un responsable du traitement et un sous-traitant. Tout d'abord, il doit inclure les détails suivants :

• L'objet, la durée, la nature et le but du traitement des données
• Le type de données personnelles traitées
• Les catégories de sujets de données dont les données personnelles sont traitées
• Les exigences et droits du Contrôleur

De plus, le contrat doit contenir les dispositions suivantes :

• Le Processeur traitera les données personnelles reçues du Contrôleur uniquement sur instructions documentées de ce dernier (à moins que la loi n'exige de traiter les données personnelles sans de telles instructions).
• Le Processeur garantit que toute personne traitant des données personnelles est soumise à une obligation de confidentialité.
• Le Processeur prend toutes les mesures requises par l'Article 32, y compris la mise en œuvre de mesures techniques et organisationnelles appropriées pour protéger les données personnelles reçues du Contrôleur.
• Le Processeur obtient une autorisation écrite pour tout sous-traitant que le Processeur peut engager pour traiter les données personnelles reçues du Contrôleur. Si le Contrôleur fournit une autorisation écrite générale pour l'engagement de sous-traitants, le Contrôleur doit avoir la possibilité de s'opposer à l'avance à chaque sous-traitant individuel que le Processeur propose d'engager.
• Tout sous-traitant engagé par le Processeur est soumis aux mêmes exigences de protection des données que le Processeur et que le Processeur reste directement responsable devant le Contrôleur pour la performance des exigences de protection des données d’un sous-traitant.
• Le Processeur assiste le Contrôleur en mettant en œuvre des mesures techniques et organisationnelles appropriées pour répondre aux demandes des personnes concernées en vertu du RGPD.

• Le Processeur assiste le Contrôleur pour garantir la conformité avec les exigences du GDPR concernant la sécurité du traitement des données (Article 32), la notification des violations de donnéeses (Articles 33 et 34) et les évaluations d'impact sur la protection des données (Articles 35 et 36).
• À la fin du traitement des données par le Processeur et sur instruction du Contrôleur, le Processeur supprime ou retourne les données personnelles reçues du Contrôleur.
• Le Processeur met à la disposition du Contrôleur toutes les informations nécessaires pour démontrer la conformité avec l'Article 28 et que le Processeur permet et contribue aux audits menés par le Contrôleur ou un tiers pour le compte du Contrôleur.

Il existe d'autres dispositions que les Contrôleurs et les Processeurs peuvent souhaiter inclure dans un Contrat de Traitement des Données au cas par cas, mais qui ne sont pas obligatoires en vertu du RGPD, telles que :

• Dispositions relatives à la responsabilité (y compris les indemnisations)
• Dispositions de sécurité détaillées (techniques)
• Dispositions supplémentaires de coopération entre le Contrôleur et le Processeur

Règles pour les entreprises multinationales

Si votre entreprise américaine fait partie d'une entreprise multinationale établie dans l'UE et que vous recevez régulièrement des données de vos homologues européens concernant les citoyens de l'UE, vous êtes soumis aux règles qui régulent ces transferts de données entre pays. Ces Règles d'Entreprise Contraignantes (BCRs) sont spécifiées dans l'Article 29 et fournissent un cadre pour les entreprises multinationales afin de transférer des données personnelles de l'Espace Économique Européen (EEE) vers leurs filiales situées en dehors de l'EEE en conformité légale avec le 8ème principe de protection des données et l'Article 25 de la Directive 95/46/CE.

Règles pour la notification de violation de données

Les notifications de violation de données doivent être émises lorsqu'une violation de sécurité conduit à la divulgation, la perte ou l'altération accidentelle ou illégale de données personnelles. Le règlement général sur la protection des données exige que si une violation de données met en péril les droits et libertés personnels des individus et que vous êtes incapable de contenir ces risques, tous les individus affectés doivent être notifiés. Si une entreprise détermine qu'il n'y a pas un tel risque, cette position doit être étayée par des preuves crédibles. Les processeurs de données qui subissent des violations doivent également notifier le contrôleur de données concerné. Vous devez aussi notifier les autorités de protection des données ; si la violation affecte des personnes dans plusieurs localités, vous devrez notifier l'autorité ayant la juridiction la plus large. Un régulateur ne va pas dire que vous n'auriez pas dû avoir de violation. Ils vont dire que vous devriez avoir les politiques, procédures et structures de réponse en place pour résoudre cela rapidement.

Bien que le délai légal pour signaler une violation soit de 72 heures, ne attendez pas la dernière heure pour le faire ; faites un rapport dès que vous prenez conscience d'une violation, et informez le régulateur que vous mettez en place votre processus de réponse et que vous fournirez des mises à jour.

Exigence pour les évaluations d'impact sur la protection des données

L'article 35 du RGPD exige que toutes les entreprises réalisent des évaluations d'impact sur la protection des données (EIPD) pour évaluer les risques potentiels liés aux données et pour démontrer comment les données circulent au sein de l'organisation. Il existe quatre composants de base à une évaluation d'impact sur la protection des données :

• Une description des opérations de traitement
• Une explication de la raison pour laquelle le traitement a lieu et de sa nécessité
• Une description des mesures prises pour atténuer les risques et protéger la vie privée des utilisateurs
• Un compte rendu détaillant le risque par rapport au bénéfice

Le RGPD ne fournit pas de structure spécifique pour ces évaluations, mais il spécifie que la collecte et le traitement des données doivent toujours « servir l'humanité », indiquant que l'accent doit être mis sur leur bénéfice pour les personnes concernées.

Consentement pour le traitement des données

Selon le RGPD, les entreprises doivent obtenir un consentement explicite pour traiter les données personnelles : chaque personne concernée doit non seulement accepter que vous collectiez et stockiez ses données, mais aussi que vous utilisiez ses données de la manière que vous avez prévue.

Les personnes concernées ont le droit de retirer leur consentement pour n'importe quel objectif. Si un client décide qu'il ne souhaite plus recevoir les publicités ciblées que vous créez en utilisant ses données, vous devez retirer le client de votre système.

Protection des droits des personnes concernées

Le RGPD énumère huit droits des personnes concernées que les entreprises ont l'obligation de respecter. Ils sont :

• Le droit à l'information sur ce qui arrive aux données personnelles
• Le droit à une copie des données collectées et toute information supplémentaire pour le contexte
• Le droit de faire rectifier des données inexactes
• Le droit à l'effacement des données personnelles (dans certaines circonstances)
• Le droit de limiter l'utilisation des données
• Le droit de recevoir un rapport sur les données qui ont été collectées
• Le droit d'exiger l'arrêt du traitement des données
• Le droit de ne pas être soumis à des décisions prises sur la base du traitement automatisé des données

De plus, les entreprises doivent faciliter l'exercice de ces droits par les personnes concernées. Par exemple, elles peuvent décider de publier une politique de confidentialité et exiger des clients qu'ils cochent une case « d'accord ». Ces procédures doivent être décrites dans votre déclaration de confidentialité, qui doit être régulièrement mise à jour (un bon contrôle des versions est une manière prudente de démontrer la conformité).

Nomination du personnel

La Commission européenne recommande que chaque entreprise affectée dispose d'un délégué à la protection des données (DPO) dans son personnel. Vous êtes tenu d'avoir un DPO si l'une des conditions suivantes s'applique :

• Vous êtes une autorité publique qui traite des données protégées par le RGPD.
• Vos activités principales incluent la surveillance à grande échelle et systématique des données.
• Vous traitez une catégorie spéciale de données, telles que l'état de santé, les origines raciales ou ethniques, l'orientation sexuelle ou les croyances religieuses.

Même lorsque le RGPD n'exige pas spécifiquement la nomination d'un DPO, les organisations peuvent parfois trouver utile de désigner un DPO sur une base volontaire. Le DPO est une pierre angulaire de la responsabilité, et nommer un DPO peut démontrer et faciliter la conformité, offrant un avantage concurrentiel aux entreprises en montrant à quel point votre organisation est éthique. Le Groupe de travail Article 29 sur la protection des données (‘WP29’) encourage ces efforts volontaires. (Ce groupe comprend des représentants des autorités de protection des données de chaque État membre de l'UE et publie des directives pour se conformer aux exigences du RGPD, telles que la nomination des DPOs.)

Un DPO peut être n'importe quel membre du personnel qui garantit que la stratégie de protection des données de votre entreprise est conforme au RGPD. Si vous n'avez pas de présence physique dans l'UE, vous devrez nommer un représentant dans un pays de l'UE. Le DPO peut avoir d'autres fonctions, à condition qu'il ait encore le temps de surveiller la conformité au RGPD.

Une fois que vous avez nommé un DPO ou embauché quelqu'un de nouveau pour remplir ce rôle, assurez-vous qu'il sait ce qu'il doit faire et qu'il dispose des ressources nécessaires pour le faire. Une liste de contrôle complète est idéale. En plus des tâches telles que faciliter les DPIA et réaliser des audits, les DPO agissent comme intermédiaires entre les parties prenantes, telles que les autorités de contrôle, les sujets de données et les unités commerciales au sein d'une organisation.

Notez que les DPO ne sont pas personnellement responsables en cas de non-conformité avec le RGPD. L'article 24 précise que c'est le Contrôleur ou le Processeur qui est tenu de garantir et de pouvoir démontrer que le traitement est effectué conformément aux dispositions du RGPD.

Par la suite : Conseils pour devenir conforme au RGPD

La meilleure façon d'atteindre la conformité au GDPR est d'adopter une approche descendante, en réfléchissant aux objectifs principaux puis en déterminant quels contrôles techniques choisir pour atteindre ces objectifs. Outre les GDPR Compliance Tools évidents, il y a trois choses clés à garder à l'esprit lorsque vous cherchez à assurer la sécurité des données réglementées :

Gestion des risques de sécurité

Le RGPD met l'accent sur une approche basée sur le risque pour la protection des données et la sécurité de vos systèmes et services de traitement. Vous devez identifier et évaluer vos risques, puis prendre les mesures appropriées pour les gérer en fonction de facteurs tels que :

• La technologie disponible
• Le coût de la mise en œuvre d'outils et de processus
• La nature, l'étendue, le contexte et l'objectif du traitement
• La gravité et la probabilité des risques
• Les données personnelles que vous traitez
• Les systèmes qui traitent ces données

Lorsque le traitement des données est susceptible d'entraîner un risque élevé pour les droits et libertés des individus, vous devez entreprendre une analyse d'impact relative à la protection des données (AIPD) pour établir l'impact du traitement envisagé sur la protection des données personnelles et identifier les mesures techniques et organisationnelles nécessaires pour atténuer le risque. Si ces mesures ne réduisent pas le risque à un niveau acceptable, vous devez consulter votre autorité de régulation des données avant de commencer le traitement.

Gouvernance

Vous devez également mettre en place une protection des données appropriée et des politiques de Data Security Posture Management ainsi que des processus adéquats. Assurez-vous de maintenir des registres des activités de traitement et, si nécessaire, de nommer un Délégué à la Protection des Données.

Sensibilisation et formation du personnel

Aidez votre personnel à gérer les données personnelles de manière sécurisée en fournissant une formation pertinente sur la sensibilisation ainsi que sur l'utilisation appropriée de vos systèmes et outils. Par exemple, le personnel doit être compétent afin de ne pas traiter les données personnelles par inadvertance (par exemple, en les envoyant au mauvais destinataire).

F.A.Q.

Que signifie le RGPD pour les entreprises américaines ?

Le RGPD réglemente la collecte et le traitement des données personnelles appartenant aux résidents de l'UE, même si l'entreprise est située aux États-Unis.

Comment le RGPD affecte-t-il les entreprises basées aux États-Unis ?

Les entreprises américaines doivent se conformer au GDPR si elles proposent des biens ou services aux résidents de l'UE en particulier, ou si elles surveillent le comportement des résidents de l'UE au sein de l'Union.

Quand la conformité au GDPR est-elle nécessaire aux États-Unis ?

Si une entreprise collecte des données personnelles de résidents de l'UE à des fins commerciales et ce, de manière plus qu'occasionnelle, elle doit être conforme au RGPD.

Qu'est-ce que les données personnelles, selon le RGPD, aux États-Unis ?

Les données personnelles sont toutes informations pouvant être associées à l'identité individuelle ou sociale d'une personne. Cela inclut le nom, le domicile, l'emploi ou l'appartenance religieuse de la personne.

Que se passe-t-il si les entreprises américaines ne respectent pas le RGPD ?

Toute entreprise reconnue coupable de violation du RGPD peut être sujette à des amendes comprises entre 10 millions d'euros et 20 millions d'euros ou jusqu'à 4 % du chiffre d'affaires annuel de l'entreprise.

Quelle organisation a l'autorité pour pénaliser les entreprises américaines non conformes ?

La Commission européenne est l'organisme officiel de régulation du GDPR. Si une entreprise est reconnue en violation de ces réglementations mais ne relève pas de la juridiction européenne, la CE peut collaborer avec les gouvernements internationaux pour imposer des amendes et des pénalités.