RGPD
La loi de l'Union européenne sur la protection des données, qui encadre la façon dont les organisations recueillent, utilisent et protègent les données personnelles des personnes dans l'UE.
En bref
- Il s'applique aussi aux organisations hors de l'UE qui offrent des biens ou des services à des personnes dans l'UE ou suivent leur comportement.
- Chaque utilisation de données personnelles exige une base légale, comme le consentement, le contrat ou l'intérêt légitime.
- Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé.
Le Règlement général sur la protection des données, ou RGPD, s'applique dans toute l'Union européenne depuis mai 2018. Il encadre le traitement des données personnelles : toute information qui identifie une personne, comme un nom, un courriel, un numéro de carte ou le contenu d'un reçu lié au compte de quelqu'un. Le Royaume-Uni a conservé une version presque identique, le UK GDPR, après sa sortie de l'UE.
Les grands principes
- Base légale : chaque utilisation doit reposer sur l'une de six bases, comme le consentement, l'exécution d'un contrat, une obligation légale ou l'intérêt légitime.
- Limitation des finalités et minimisation : ne recueillir que le nécessaire, pour une fin déclarée.
- Limitation de la conservation : ne garder les données que le temps nécessaire.
- Sécurité : protéger les données par des mesures techniques et organisationnelles appropriées.
- Responsabilité : pouvoir démontrer sa conformité.
Les droits des personnes
Les personnes peuvent demander l'accès à leurs données, les faire corriger ou supprimer, limiter leur utilisation ou s'y opposer, et les recevoir dans un format portable. Les organisations doivent répondre, généralement dans un délai d'un mois.
Pourquoi les finances s'en soucient
Les reçus, les factures, les notes de frais et les données de paiement contiennent des renseignements personnels. Le choix des fournisseurs qui traitent ces données, leur durée de conservation et les transferts transfrontaliers relèvent du RGPD dès que des résidents de l'UE sont concernés. La conservation à des fins fiscales est une base légale valable, mais elle doit être documentée et limitée à ce que la loi exige.
La Loi 25 du Québec suit des principes semblables et est souvent comparée au RGPD.
Exemple chiffré
Une entreprise canadienne avec des clients européens
Une entreprise montréalaise de logiciels vend des abonnements à des clients en France et en Allemagne. Comme elle offre des services à des personnes dans l'UE, le RGPD s'applique à leurs données. Elle documente ses bases légales, signe des ententes de traitement des données avec ses fournisseurs, utilise des mécanismes de transfert approuvés pour les données stockées hors de l'UE et fixe des durées de conservation alignées sur les exigences fiscales.