Droit
L’objectif du règlement est de renforcer les droits des ressortissants en matière de maîtrise de leurs données. Cette maîtrise passe notamment par l’affirmation du droit d’accès à ses propres données, du droit à la portabilité (l’utilisateur récupère, de manière simple et lisible l’ensemble de ses données) et du droit à l’oubli (droit des consommateurs/clients de rectifier ou d’effacer leurs données).
Sécurité
Dans un environnement toujours plus sujet aux cyber-attaques, le règlement vise à renforcer les moyens et contrôles mis en œuvre pour garantir la confidentialité et la disponibilité des données (mesures adaptées aux risques et à la nature des données utilisées, pseudonymisation, cryptage etc.). L’entreprise doit également notifier dans les 72h à l’autorité de contrôle compétente toute violation des données à caractère personnel.
Garanties
L’entreprise doit être en mesure de prouver, par le biais d’une documentation permettant de justifier du déploiement des dispositifs adéquats, sa conformité au règlement. Au-delà de sa propre conformité, le règlement stipule l’obligation pour l’entreprise de garantir, en toute transparence, que le sous-traitant (y compris extra-Union) qui exploite certaines de ces données est en mesure de répondre aux obligations qu’il établit (contractualisation obligatoire dans une logique de coresponsabilité).
Qualité
Le règlement s’efforce également de garantir la qualité de l’exploitation des données à caractère personnel. Il définit comme licite, loyal et transparent le traitement de données réalisé avec le consentement des personnes concernées, et avec une finalité déterminée, explicite et légitime. Le traitement des données sera donc fait dans une optique de minimisation des données, en ce qui concerne leur exploitation et leur conservation dans le temps. L’entreprise doit également garantir l’exactitude (et éventuellement la mise à jour) des données, ou leur effacement immédiat.
