La protection des données est importante pour les entreprises comme pour chaque individu. Les règles relatives au traitement des données à caractère personnel sont devenues plus strictes ces dernières années et doivent être davantage respectées. Cela s'explique principalement par l'introduction du RGPD. Le RGPD, ou règlement général sur la protection des données, s'applique à toutes les entreprises sans exception. Nous examinons de plus près ce qu'implique ce règlement et quelles sont ses conséquences dans le quotidien professionnel.

Signification du RGPD : qu'entend-on par là ?

Le règlement général sur la protection des données (RGPD, en anglais General Data Protection Regulation GDPR) est un règlement qui transpose en Allemagne les règles de l'Union européenne relatives au traitement des données à caractère personnel. Il vise à garantir la protection des données à caractère personnel au sein de l'Union européenne. La législation sur la protection des données garantit, entre autres, que le consentement préalable au stockage et au traitement des données à caractère personnel doit être obtenu. Ces données comprennent notamment l'adresse, la date de naissance, la situation familiale, les informations bancaires et les informations relatives aux opinions politiques ou religieuses. Toutes les données relatives à une personne doivent être traitées avec soin conformément à la loi RGPD et ne peuvent être utilisées qu'avec le consentement de la personne concernée.

Objectifs du RGPD

Le droit de la protection des données a pour objectif la protection des personnes physiques ou, plus précisément, des données à caractère personnel. En cas de violation de la protection des données, l'obligation de notification doit être respectée. Le RGPD constitue un règlement uniforme pour tous les pays de l'UE, qui garantit que les données à caractère personnel sont traitées avec soin.

Le renforcement des droits de la personnalité des personnes physiques est particulièrement important dans le cadre du RGPD et doit être considéré comme un objectif du règlement. Des conditions particulières doivent être respectées lors du traitement de données sensibles. En outre, la transparence et la minimisation des données stockées jouent un rôle important. Le traitement des données est fortement réglementé par le RGPD. Les droits de la personnalité des personnes physiques sont toutefois particulièrement renforcés par le consentement obligatoire au stockage des données et par le droit à la suppression des données.

Dans l'ensemble, les données ne peuvent donc pas être simplement stockées. Le consentement est toujours requis et les entreprises sont également soumises à une obligation d'information. En cas de violation des données, des informations doivent généralement être fournies et le non-respect de la protection des données est passible de sanctions financières. Les personnes physiques ne sont donc pas tenues d'accepter simplement le stockage ou même l'utilisation de leurs données à caractère personnel et sont mieux protégées par le règlement.

La base juridique du règlement général sur la protection des données

Le RGPD est en vigueur depuis 2016 et applicable dans tous les États membres de l'UE depuis mai 2018. Le RGPD s'applique aux entreprises, cabinets, associations et autorités publiques ou à tout organisme qui utilise et traite des données à caractère personnel dans le cadre de ses activités. Le règlement général sur la protection des données a été reconnu comme loi dans l'UE. Il a été adopté afin de permettre la libre circulation des données au sein de l'UE. Le règlement vise à réglementer de manière uniforme le traitement des données à caractère personnel. Le règlement général sur la protection des données définit très clairement les objectifs du règlement ainsi que les principes et les conditions applicables au traitement des données particulièrement sensibles.

Le règlement permet notamment aux entreprises de connaître les conditions à respecter pour obtenir le consentement des personnes concernées. Il définit également les droits des personnes physiques, l'obligation d'information et la procédure à suivre en cas de violation des données. Dans l'ensemble, tous les détails relatifs au traitement ou au transfert des données ainsi que l'obligation de les supprimer sont définis. Le RGPD a été élaboré de manière exhaustive afin de réduire au maximum les lacunes en matière de traitement des données. Cela entraîne une charge de travail supplémentaire pour les entreprises qui stockent et traitent des données à caractère personnel, mais aussi une réglementation plus stricte des procédures.

Article 5 du RGPD : Principes fondamentaux relatifs au traitement des données à caractère personnel

L'article 5 du RGPD énonce de manière exhaustive les principes relatifs au traitement des données. Il s'agit de règles de base à respecter, qui concernent le traitement des données à caractère personnel et qui doivent être prises en considération avec une attention particulière. Les exigences en matière de protection des données doivent être respectées plus précisément par ces principes. Le libellé de l'article 5 du RGPD peut être consulté dans le règlement lié. Les principes suivants jouent un rôle à cet égard :

Licéité et transparence

Toutes les exigences légales doivent être strictement respectées lors du traitement des données à caractère personnel. Ce n'est qu'alors que le principe de licéité est respecté. Les personnes concernées peuvent demander des informations. Les données traitées doivent rester transparentes afin que la personne concernée puisse savoir quelles données sont concernées. Le traitement doit être effectué de bonne foi. Les citoyens de l'UE ont un droit d'accès aux informations relatives au traitement de leurs données ainsi qu'à toute autre information concernant ce processus. Le consentement peut être révoqué et il est possible d'exiger la suppression des données. Pour cette suppression, une demande doit être adressée à l'entreprise concernée.

Limitation de la finalité

Les données doivent être collectées pour des finalités déterminées et explicites. Dans le cadre de la limitation de la finalité, il n'est pas possible de traiter les données en dehors de l'utilisation prévue. Le consentement des personnes concernées au stockage des données ne peut donc pas être utilisé à des fins différentes.

Exactitude

Toutes les données doivent être à jour et exactes. Dans le cadre de l'exactitude, les données incorrectes ou obsolètes doivent être supprimées ou corrigées.

Intégrité et confidentialité

Les principes d'intégrité et de confidentialité des données enregistrées revêtent également une grande importance. Ces données doivent être traitées de manière à garantir leur sécurité. En principe, les entreprises sont tenues de maximiser la protection des données tout au long du processus de collecte et grâce à des processus techniques. Les citoyens de l'UE ont donc le droit d'exiger des entreprises qu'elles mettent en place des processus aussi sûrs que possible afin de protéger leurs données.

Minimisation des données

Les données doivent être réduites à l'essentiel. Il n'est pas possible de consulter ou de traiter des données qui vont au-delà de ce qui est nécessaire. Cela fait partie des principes fondamentaux de la minimisation des données, tout comme le principe de limitation de la finalité, car les données ne peuvent être utilisées qu'aux fins pour lesquelles elles ont été collectées.

Responsabilité

Le responsable de la protection des données est tenu de respecter les principes de la protection des données. Le respect des dispositions doit être prouvé, il existe donc une obligation de rendre compte du traitement et de l'utilisation des données. La collecte et le traitement des données à caractère personnel nécessitent le consentement des personnes concernées. Le consentement doit, dans certains cas, être prouvé par l'entreprise concernée.

Limitation de la conservation

L'article 5 du RGPD stipule également que les données à caractère personnel ne doivent être conservées que pendant une durée limitée. L'identification des personnes au-delà des finalités précisément définies n'est donc pas autorisée.

Art. 6 du RGPD : licéité du traitement

Dans le contexte du présent sujet, l'art. 6 du RGPD relatif à la licéité du traitement revêt également une grande importance. L'article 6 du RGPD définit précisément les conditions dans lesquelles le traitement des données est licite. Outre le consentement direct des personnes concernées au traitement des données, il existe quelques exceptions dans lesquelles le consentement personnel de la personne concernée n'est pas nécessaire. C'est le cas, par exemple, lorsque le traitement est nécessaire au respect d'une obligation légale. Ou lorsque le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée. Il convient donc de toujours vérifier avec précision la licéité du traitement afin d'exclure d'emblée toute violation des dispositions.

Processus critiques de l'entreprise en rapport

Dans toute entreprise, il est possible d'accéder à de nombreuses données à caractère personnel. Il s'agit de données très complètes et sensibles, qui vont du lieu de résidence aux informations bancaires en passant par le salaire perçu. Les données disponibles révèlent littéralement la vie des employés et peuvent être utilisées à mauvais escient si la prudence n'est pas de mise. C'est pourquoi différents processus au sein de l'entreprise doivent être examinés de manière particulièrement attentive afin de garantir le respect du RGPD. Dans de nombreux cas, un examen critique des différents processus peut contribuer à réduire au maximum les incidents liés aux données.

Les processus suivants sont particulièrement critiques et doivent être pris en compte dans le cadre de la conformité en matière de protection des données pour tous les services :

• Déclarations de confidentialité
• Déclarations de consentement
• Processus de traitement des données
• Procédure en cas de violation des données
• Processus de traitement de toutes les données clients
• Traitement des données issues du marketing en ligne, telles que les données d'un site web
• Évaluation des risques pour la définition de toutes les mesures techniques

Les entreprises doivent donc non seulement connaître le RGPD et évaluer les implications de ses dispositions, mais aussi intégrer des processus permettant de protéger les données. Des déclarations de consentement doivent également être disponibles, tout comme un protocole applicable en cas de violation des données. Les solutions techniques appropriées permettent de sécuriser les données et de respecter toutes les exigences.

Violation de la protection des données : ce qui menace en cas de non-respect du RGPD

Une violation de la protection des données peut avoir des conséquences. Tout d'abord, les entreprises doivent signaler toute violation de données et s'attendre à des amendes si elles ne respectent pas la protection des données. En cas de violation de la protection des données, les entreprises n'ont pas le choix, elles doivent donc signaler l'incident afin d'assurer une meilleure protection. Il y a violation de la protection des données lorsque des données enregistrées, traitées ou transmises sont détruites, perdues, modifiées ou divulguées sans autorisation. Une telle violation de la protection des données doit être signalée en conséquence.

En outre, une amende RGPD est à prévoir en cas de non-respect du règlement sur la protection des données. L'amende RGPD en cas de violation de la protection des données peut s'élever soit à 4 % du chiffre d'affaires annuel mondial, soit à un montant maximal de 20 millions d'euros. Il convient de vérifier quel montant est finalement le plus élevé.

BDSG-neu ou RGPD : quand s'applique quoi ?

Le RGPD est la réglementation applicable à tous les pays de l'UE. En complément, la nouvelle BDSG s'applique au niveau national depuis le 25 mai 2018. BDSG signifie « Bundesdatenschutzgesetz » (loi fédérale sur la protection des données), qui s'applique en République fédérale d'Allemagne. Il est important de noter ici que la nouvelle BDSG ne contredit pas le RGPD. Il s'agit plutôt d'un complément qui doit être pris en compte dans certains cas. La nouvelle BDSG s'applique depuis 2018 en même temps que le RGPD, ce dernier ayant toujours la priorité. Il existe quelques lacunes dans le règlement européen qui sont comblées par la nouvelle BDSG. Nous allons ici mentionner brièvement les points les plus importants pour lesquels la loi fédérale sur la protection des données est importante :

• Dispositions pénales et amendes supplémentaires

La loi fédérale sur la protection des données complète les amendes existantes et introduit des dispositions pénales supplémentaires pouvant inclure des peines d'emprisonnement.

• La fonction de délégué à la protection des données

La loi fédérale sur la protection des données définit les cas dans lesquels un délégué à la protection des données doit être désigné pour protéger les données traitées. Ces détails n'étant pas clairement réglementés dans le RGPD, la loi fédérale sur la protection des données contient des dispositions concrètes à ce sujet.

• La protection des données des employés

La nouvelle loi fédérale sur la protection des données contient également des mesures complémentaires pour la protection des données des employés.

Les deux réglementations s'appliquent donc simultanément, sans que l'une ne remplace soudainement l'autre. Grâce à ce complément au niveau national, il est donc possible de disposer d'une réglementation appropriée en cas de lacunes juridiques.

L'importance du RGPD dans la gestion de flotte

La gestion de flotte implique le traitement d'un grand nombre de données à caractère personnel des conducteurs. L'utilisation d'un logiciel de gestion de flotte clairement axé sur la sécurité du stockage des données peut donc être utile pour garantir le respect des lois en matière de conformité. Les dispositions du règlement général sur la protection des données ont donc un impact considérable sur les activités quotidiennes de la gestion de flotte. Dans le domaine des flottes automobiles en particulier, certains points doivent être pris en compte afin de respecter le règlement général sur la protection des données tout en continuant à utiliser toutes les données essentielles. En effet, la gestion d'une flotte automobile n'est pas possible sans données, car différentes données sont nécessaires dans la pratique.

Veuillez tenir compte des conseils suivants pour la mise en œuvre des exigences dans votre parc automobile :

• Le consentement des conducteurs est nécessaire

Avant la collecte, le traitement et l'utilisation des données, le consentement du conducteur doit être obtenu. Sans ce consentement, seules les données absolument nécessaires à l'entreprise peuvent être collectées, mais aucune donnée à caractère personnel.

• La localisation des véhicules doit être traitée avec prudence

Certaines flottes utilisent la localisation des véhicules. Cela présente bien sûr de nombreux avantages, car les itinéraires parcourus, les distances, le taux d'utilisation et bien d'autres données sont disponibles. Toutefois, du point de vue de la protection des données, la localisation des véhicules doit être traitée avec prudence et ne doit en aucun cas être effectuée sans raison valable. Un consentement supplémentaire doit être obtenu et la surveillance des employés doit être interdite. Après tout, la localisation des véhicules doit servir à collecter des données et à assurer la sécurité, mais pas à surveiller les employés de manière ciblée. Dans ce contexte, il est également important de noter qu'une entreprise ne peut pas imposer son consentement. Celui-ci doit être donné librement.

Enfin, la localisation des véhicules n'est effectuée que pendant les heures de service et peut être désactivée en cas d'utilisation privée. La localisation secrète sans consentement volontaire étant punissable, il convient de s'abstenir d'une telle pratique.

• Le RGPD ne s'applique pas à toutes les données

Pour la gestion d'un parc automobile, de nombreuses données sont importantes et indispensables à une prise de décision éclairée. Cependant, toutes les données ne sont pas concernées par le règlement sur la protection des données. Ainsi, les données anonymes qui ne peuvent pas être directement associées à une personne peuvent être utilisées sans problème. Les données relatives à un conducteur doivent être traitées avec la plus grande prudence. Cela inclut les distances parcourues, la consommation de carburant individuelle ou le style de conduite d'un conducteur.

• Les gestionnaires de véhicules sont responsables en cas de violation de la protection des données

Lorsque les gestionnaires de flotte sont chargés du traitement des données, ils doivent garantir la protection de ces dernières. Pour ce faire, ils doivent prendre des mesures appropriées pour sécuriser les données. En cas de violation de la protection des données, le gestionnaire de flotte est responsable. Les amendes prévues par le RGPD pouvant être très élevées, il ne faut pas sous-estimer l'aspect de la responsabilité existante afin de prendre les mesures appropriées.

• Le collaborateur quitte l'entreprise avec les données

À ce stade, il convient de noter qu'un conducteur peut demander que les données soient supprimées dès qu'il quitte l'entreprise. Par conséquent, lorsque qu'un collaborateur quitte l'entreprise, il convient de prêter une attention particulière à ce qu'il advient des données.

• Attention au stockage des données dans un cloud

La procédure de stockage des données dans un cloud externe est délicate. Elle est en principe destinée à sécuriser le stockage des données. Toutefois, lors de l'utilisation d'un cloud, il convient de vérifier si le fournisseur respecte également le RGPD. En effet, cela est absolument nécessaire dans un tel cas afin d'éviter d'autres difficultés en matière de protection des données.

L'absence de mesures ou le non-respect du RGPD peuvent entraîner des amendes considérables. Les données à caractère personnel des conducteurs doivent être protégées de manière appropriée afin d'agir de manière préventive. Plus l'organisation du stockage des données est bonne et plus ce processus est sécurisé, plus le risque est faible au final. Des règles claires en matière de conformité, tout comme un logiciel de gestion de flotte, contribuent à prévenir les problèmes dans ce domaine.

Dans ce contexte, il convient de souligner que le logiciel de gestion de flotte Avrios reconnaît clairement l'importance du RGPD. Le logiciel est conforme au RGPD afin de respecter et de mettre en œuvre toutes les exigences importantes dans ce domaine. Compte tenu de l'importance du RGPD dans le domaine des flottes, l'utilisation d'un logiciel de gestion de flotte adapté et conforme à la réglementation est devenue une priorité.

Questions fréquentes sur le RGPD

Quel est l'objectif du RGPD ?

Le traitement des données à caractère personnel dans l'UE doit être réglementé de manière uniforme. Dans le cadre du marché intérieur européen, le RGPD, entré en vigueur en 2016, vise à garantir la libre circulation des données. Les droits des citoyens de l'UE doivent être renforcés. L'objectif est également de réglementer la collecte, le stockage et le traitement des données à caractère personnel.

Quelles sont les données à caractère personnel qui peuvent être stockées ?

Les données à caractère personnel qui peuvent être stockées comprennent, entre autres, le nom, le lieu de résidence, la date et le lieu de naissance, ainsi que l'adresse électronique. Certaines données, telles que l'origine ethnique, sont toutefois particulièrement protégées. Conformément à l'article 4, paragraphe 1, du RGPD, il doit s'agir de données relatives à une personne physique. Les caractéristiques particulières telles que les opinions politiques, religieuses ou sociales font également partie des données à caractère personnel. Il en va de même pour les données relatives à la santé.

Quelles sont les conséquences d'une violation du RGPD ?

Toute violation du RGPD est passible d'amendes pouvant atteindre 20 millions d'euros, en fonction du chiffre d'affaires réalisé. Les amendes s'élèvent généralement à 4 % du chiffre d'affaires annuel mondial réalisé, dans la limite de 20 millions d'euros.

Quelles sont les obligations des entreprises en cas de violation des données ?

Il y a violation des données lorsque, par exemple, des données personnelles sensibles tombent entre les mains de personnes non autorisées à la suite d'un piratage informatique. L'utilisation frauduleuse d'une carte de crédit constitue également une violation des données. Dès qu'il s'agit de données à caractère personnel, la violation doit être signalée à l'autorité de contrôle dans un délai de 72 heures. La violation ne doit être signalée que si les droits et libertés des personnes concernées sont compromis. Une entreprise peut évaluer elle-même si ce risque existe. Le RGPD régit en détail la procédure à suivre en cas de violation de données.

Qu'est-ce qui n'est pas considéré comme des données à caractère personnel ?

Les données qui se rapportent à une personne morale ne sont pas considérées comme des données à caractère personnel. De plus, les données anonymes relatives à des personnes ne sont pas considérées comme des données à caractère personnel.

Autres articles sur la gestion de flotte

• BGV d29
• Rapport d'accident
• Le contrôle UVV pour les véhicules : mode d'emploi
• Application de contrôle du permis de conduire : les avantages des applications web pour téléphone portable
• Restitution des véhicules de fonction : ce qu'il faut savoir
• Instruction UVV pour les véhicules de fonction
• Pourquoi la réglementation DGUV 70 est-elle importante ?
• Réglementation DGUV 70 : pourquoi est-elle contraignante ?
• Réglementation DGUV 70 et BGV d29 pour les flottes automobiles expliquées simplement

‍

‍