RGPD

I. Introduction

On 20 June 2018, France adopted Law No. 2018-493 relating to the protection of personal data to implement the General Data Protection Regulation (GDPR). This law revises and consolidates the 1978 Data Protection Act.

The National Commission for Information Technology and Civil Liberties (CNIL) is the national supervisory authority responsible for overseeing, guiding, and enforcing the GDPR and its implementing texts in France. Thus, France has a personal data protection system that complies with the requirements of the European Union.

II. Scope of Application

The rules for applying the GDPR in France apply to:

any data controller or processor established in French territory;

any organisation located outside France offering goods or services to individuals in France, or monitoring their behaviour within French territory.

Regardless of where processing is carried out, as long as it concerns personal data of individuals located in France, the law applies. It covers automated processing as well as non-automated processing that forms part of a filing system. Activities of an exclusively personal or domestic nature do not fall within its scope.

III. Data Processing Principles

Lawfulness, Fairness, and Transparency: all processing must have a clear legal basis and be conducted transparently.

Purpose Limitation: data may only be used for specified and legitimate purposes.

Data Minimisation: only strictly necessary data should be collected.

Accuracy: data must be accurate and regularly updated.

Storage Limitation: data should only be kept for the strictly necessary period, then deleted or anonymised.

Security and Confidentiality: appropriate technical and organisational measures must be implemented to prevent any breach, alteration, or loss of data.

IV. Rights of Data Subjects

In accordance with the GDPR and French law, individuals have the following rights:

Right to information and access;

Right to rectification;

Right to erasure (right to be forgotten);

Right to restriction of processing;

Right to data portability;

Right to object.

Pour les mineurs de moins de 15 ans, le traitement de leurs données nécessite le consentement d'un parent ou d'un représentant légal, et les informations doivent leur être fournies dans un langage clair et compréhensible.

V. Obligations du sous-traitant

Les sous-traitants doivent :

suivre strictement les instructions écrites du responsable du traitement ;

mettre en œuvre des mesures de sécurité adéquates ;

assister le responsable du traitement dans l'exercice de ses obligations, notamment en répondant aux demandes des personnes concernées ;

notifier le responsable du traitement sans délai en cas de violation de données, qui doit ensuite informer la CNIL dans les 72 heures.

Les responsables de traitement doivent tenir un registre des activités de traitement et réaliser une Analyse d'Impact relative à la Protection des Données (AIPD) en cas de risque élevé. Certaines organisations doivent également désigner un Délégué à la Protection des Données (DPO) et s'enregistrer auprès de la CNIL.

VI. Transferts internationaux de données

Lorsqu'un transfert vers un pays situé en dehors de l' UE est envisagé, le responsable du traitement doit garantir un niveau de protection adéquat. Cela peut se faire via :

une décision d'adéquation de la Commission européenne ;

ou la signature de Clauses Contractuelles Types (CCT).

Depuis l'invalidation du « Privacy Shield » le 16 juillet 2020, les entités françaises doivent utiliser les nouvelles Clauses Contractuelles Types adoptées le 4 juin 2021, ou tout autre mécanisme légal.

VII. Contrôle et application

La CNIL dispose de pouvoirs étendus, notamment :

émettre des avertissements ou des mises en demeure ;

limiter ou interdire certains traitements ;

imposer des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu.

La loi française permet également aux personnes de formuler des directives concernant l'utilisation de leurs données après leur décès. À défaut, le traitement doit respecter la réglementation en vigueur. Le cadre français de mise en œuvre du RGPD vise à garantir les droits des personnes, à renforcer la conformité des entreprises et à promouvoir la confiance dans l'environnement numérique.