RGPD : qu’en est-il 1 an après sa mise en place ?

Et oui, ça y est, ça fait déjà un an que le RGPD (Règlement Général sur la Protection des Données) a été mis en place ! Alors qu’en est-il quelques mois après ? Qu’est-ce que cela a impliqué pour les entreprises ? À-il été respecté ? Quelle sera la suite ? 
C’est tant de questions auxquelles nous allons tenter de répondre aujourd’hui ! 
    

La mise en place du RGPD

Pour rappel, nous l’avions vu, le RGPD visait à l’homogénéisation des lois sur le traitement des données à caractère personnel. Mise en place le 25 mai dernier auprès de toutes les entreprises ; elle avait pour but de renforcer la sécurité relative au traitement des données à caractère personnel en offrant aux utilisateurs de nouveaux droits quant à leurs données (accès, opposition, rectification…). Les entreprises ont dû s’adapter à ce changement et se responsabiliser par rapport à leur collecte, leur traitement, l’utilisation et la protection des données personnelles des usagers. 

La mise en place du RGPD s’est également assortie de sanctions dans le cas de non-respect des règles. Ces amendes pouvant se chiffrer à 4% du CA annuel d’une entreprise ou à 20 millions d’euros. Beaucoup d’entreprises ont donc craint la faillite pour cause de non-conformité.

L’impact du RGPD sur les entreprises et les internautes

Toutes les entreprises ont ressenti l’impact du RGPD ; les nouvelles règles ont bouleversé le fonctionnement de chaque organisation qui détenait ou utilisait des données personnelles européennes. Toutes ces entreprises ont dû revoir leur future collecte de données (modèles de rémunération à la performance, formulaires d’inscription, de génération de leads…) ainsi que le traitement des données qu’elles avaient déjà collectées. En quelques semaines, des pratiques alors jugées acceptables (comme l’achat et la vente de données personnelles) sont devenues totalement illégales. 

Les entreprises ont donc dû repenser leurs activités marketing pour se préparer à l’entrée en vigueur du RGPD. La plupart ont dû envoyer des emails à toutes leurs bases de données afin de leur demander s’ils souhaitaient rester inscrits ou retirés des listes de diffusion. Certaines ont perdu beaucoup de contacts, mais à défaut, elles ont eu des listes de diffusions plus qualifiées. 

Dans le rapport IAPP-EY 2018, environ 50% des entreprises interrogées ont également mis en place une organisation dédiée, et la CNIL (Commission nationale de l’informatique et des libertés) dénombre déjà 51 000 DPO (Data Protection Officer) dans les entreprises françaises. 
 

La forte médiatisation autour du RGPD a également fortement impacté les utilisateurs, car elle aura permis de favoriser la sensibilisation des citoyens aux enjeux liés aux traitements de leurs données. Cela s’est donc traduit par une envolée du nombre de plaintes dans l’Union européenne et notamment en France. Lorsque, dans les années 2000, la CNIL recevait environ 3 000 plaintes par an, selon son bilan de 2018, elle a noté une hausse de 32% des plaintes et en a reçu plus de 11 000 en France, dont plus d’un tiers porte sur la diffusion de données sur Internet. En Europe, ce sont plus de 145 000 plaintes qui auront été déposées par des citoyens et associations en l'espace d'une année.

En sommes, le RGPD a eu le mérite de provoquer une prise de conscience, que ce soit de la part des entreprises ou des consommateurs, sur les enjeux de la protection des données personnelles. Un récent baromètre CNIL / IFOP indique d’ailleurs que 66% de la population française se dit aujourd’hui plus sensible au sujet qu’avant la mise en place du règlement.

Des amendes record pour certaines entreprises 

Aujourd’hui, encore peu d’autorité se sont servis de leurs nouveaux pouvoirs de sanctions ; seule la CNIL a réellement utilisé ses pouvoirs. En effet, en 2018, la CNIL a adressé 49 mises en demeure pour non-conformité au règlement, dont 5 dans le secteur des assurances, et 4 dans celui des entreprises spécialisées dans le ciblage publicitaire. L’autorité a prononcé 11 sanctions, dont 10 pécuniaires. Il est très probable que le nombre de mises en demeure et de sanctions prononcées augmentera en 2019, car la CNIL a émis le souhait d’utiliser plus fortement ses pouvoirs répressifs à partir de cette année.

À l’heure actuelle, la pire victime du RGPD est Google à qui la CNIL a infligé une amende administrative record de 50 millions d’euros pour ne pas avoir respecté les règles RGPD en matière de consentement pour la personnalisation de ses contenus publicitaires.
 

Il y a également eu des amendes contre Facebook, Twitter, LinkedIn ou Apple par exemple. Les amendes émises ne ciblent pas uniquement les grandes entreprises, c’est aussi le cas de quelques start-ups, notamment deux start-ups françaises qui ont été épinglées par la CNIL.

Et la suite ? 

Un an après son entrée en vigueur, le RGPD n'a sans doute pas encore montré tous ses effets ; beaucoup reste encore à faire au bout d’un an.

Jusqu'à maintenant, l’application du RGPD ne s'est pas traduite par une multitude de sanctions à l'encontre des entreprises qui pourtant ont mis longtemps à s’adapter à cette réglementation. Les entreprises françaises ciblant les marchés grand public ont d’ailleurs encore de grandes difficultés dans leur majorité à appliquer pleinement le nouveau règlement.

Nous entrons aujourd’hui également dans une nouvelle ère ou les utilisateurs sont méfiants et désireux d’avoir des relations de transparence et de confiance avec les entreprises. Les clients ont aujourd’hui tendance à récompenser les entreprises qui privilégient la protection des données en dépensant plus d’argent sur leurs produits et services.

Les entreprises qui continuent de passer outre la réglementation n’échapperont pas aux sanctions ; les avertissements se sont déjà concrétisés en amendes de plus en plus élevées pour les récidivistes. De plus, même si à l’heure actuelle, la conformité du RGPD fait partie intégrante du quotidien des professionnels, les entreprises doivent tout de même rester méfiantes et ne pas manquer à leurs devoirs de conformité, notamment avec les prévisions annonçant l’arrivée de « chasseurs de prime RGPD ».  

Un long chemin reste donc encore à parcourir pour que les objectifs du RGPD soient pleinement atteints et ce dernier nécessitera certainement quelques nouveaux ajustements réglementaires, ainsi qu'un durcissement de la doctrine des autorités au niveau européen.

Au-delà de la situation des entreprises, le RGPD a eu comme effet positif de faire de l'Europe un modèle international en termes de protection des données. Des textes similaires au règlement européen ont été adoptés au Brésil, au Japon ou en Californie (avec une entrée en vigueur prévue en 2020). Plusieurs géants de la Tech américaine ont d’ailleurs également soutenu ce principe : Mark Zuckerberg (Facebook), Tim Cook (Apple), Sundar Pichai (Google) ont notamment demandé l'application aux États-Unis d'un texte inspiré du RGPD. En sommes, la protection des données prend de l’ampleur et tend à devenir une norme internationale.