RGPD et Big Data

Commençons par la bonne nouvelle : même avec le RGPD de l'UE, il n'est pas nécessaire de renoncer aux nouvelles technologies. Le Big Data, l'Industrie 4.0 et l'IA doivent toutefois être planifiés dès le départ dans les moindres détails du point de vue de la protection des données au niveau international.

Il faut notamment tenir compte des nouvelles obligations en matière de "Privacy by Design/Default" et d'analyse d'impact sur la protection des données (DFA) obligatoire. En effet, les actions relatives à la protection des données auxquelles s'applique le RGPD de l'UE concernent presque toujours la collecte, le traitement et l'utilisation de données à caractère personnel.

Ainsi, toute la chaîne de valeur du traitement des données est soumise aux lois sur la protection des données, de la génération/collecte à l'effacement. Ceci a été concrétisé et renforcé par le nouveau règlement - notamment les droits à l'oubli, à la rectification des données, à l'effacement, au blocage et à la portabilité des données, ainsi que l'obligation de notifier les violations de données.

Les obligations en matière de documentation sont considérablement élargies et s'étendront à l'avenir au sous-traitant. Le RGPD de l'UE entraîne en outre une extension de l'applicabilité des règles de protection des données de l'UE aux sous-traitants et à leurs clients dans les pays tiers.

Une autre nouveauté est que les sous-traitants peuvent désormais être tenus pour (co)responsables des violations de la protection des données dans le cadre de leurs activités de traitement des données. Le RGPD a un impact sur toutes les entreprises qui font des affaires depuis l'UE ou qui entretiennent des relations d'affaires avec l'UE ou qui collectent, traitent et stockent (font stocker) leurs données dans les États membres de l'UE, c'est-à-dire également les entreprises ou les organisations ayant leur siège en dehors de l'UE.

Pour la conception des Big Data, de l'IA et des processus de numérisation, il convient de tenir compte d'autres principes déterminants de la législation européenne en matière de protection des données, à savoir l'interdiction fondamentale du traitement des données à caractère personnel avec réserve d'autorisation, le principe de finalité et la nécessité d'une justification (loi, consentement).

Cela signifie que l'utilisation de données déjà existantes à d'autres fins ou le recoupement de données avec des données provenant d'autres sources ou tout changement de finalité nécessitent une nouvelle justification supplémentaire.

Cela pose souvent des problèmes dans le cadre de ces processus, car les données doivent être sorties de leur contexte d'utilisation initial, regroupées, restructurées et analysées, et donc réutilisées.

Un consentement individuel ne semble pas praticable dans ce cas. Le consentement ne serait valable que s'il était donné sur une base suffisamment informée et s'il respectait les dispositions du droit des conditions générales, notamment le principe de transparence.

Le fait que le consentement puisse être révoqué à tout moment constitue un inconvénient supplémentaire. Dans la mesure où il existe des motifs de justification légaux, ceux-ci devraient être utilisés. Une autre solution consisterait à mettre en place une gestion des contrats garantissant que le traitement des données est nécessaire à la conclusion et à l'exécution d'un contrat avec la ou les personnes concernées, de sorte qu'une conception appropriée des relations contractuelles constitue le deuxième moyen de choix. Ce n'est que si et dans la mesure où les motifs de justification légaux ne s'appliquent pas que l'on devrait recourir à l'instrument du consentement.

Un autre point important est que les données soient également traitées en toute sécurité. Pour cela, il faut un concept de protection des données approprié, qui inclut également la sauvegarde des données. La solution de sauvegarde doit être certifiée pour les applications, comme c'est le cas chez SEP pour les applications SAP. Cela permet de garantir que le support original du fabricant ne soit pas perdu.

On voit donc que le nouveau règlement vise à renforcer la protection des données à caractère personnel, ce qui va naturellement de pair avec une orientation stratégique plus stricte pour le traitement des données. Même si cela semble plus compliqué, cela signifie d'un autre côté que le traitement des données à caractère personnel reste possible. Mais il faut faire plus attention que ce qui a été fait jusqu'à présent.