Le RGPD s’applique à tout organisme traitant des données personnelles d’utilisateurs dans le cadre de son activité ou pour le compte d’autrui, et ce, quels que soient le pays d’implantation, la taille de l’organise et/ou son activité. Tout organisme relevant de ce champ d’action, public comme privé, est concerné à partir du moment où il se trouve établi sur le sol de l’Union européenne ou que son activité est directement ciblée sur des citoyens européens.

Ainsi, concrètement, une entreprise implantée en France et dont l’activité serait l’export de produits aux États-Unis est concernée par le RGPD. De même, une entreprise implantée au Maroc et commerçant avec l’Espagne est tout aussi directement concernée par le RGPD.

Le RGPD concerne aussi les sous-traitants dont les activités sont de traiter les données personnelles des utilisateurs pour le compte d’autres sociétés.

Le RGPD, entré en vigueur le 25 mai 2018, implique avant tout un devoir d’information auprès des internautes concernés par le traitement de leurs données personnelles. De ce fait, il convient de prendre les mesures nécessaires pour garantir une utilisation respectueuse de ces données, permettant la protection de la vie privée des personnes concernées, mais aussi de leurs droits à cet égard.

Pour ce faire, quelques règles fondamentales s’imposent :

• Avant tout, posez-vous les bonnes questions : est-ce réellement nécessaire dans le cadre de mon activité ? Selon vos besoins et vos spécificités, vous n’avez possiblement pas besoin de vous lancer dans la mise en place d’une stratégie RGPD.
• Le RGPD demande une totale transparence quant à la réutilisation des données collectées. Les personnes faisant l’objet d’une collecte de données doivent savoir que leur données nt été collectées, doivent savoir qu’elles ont être réutilisées et pour quelles fins, mais aussi, ils doivent pouvoir vous faire confiance.
• Il est nécessaire que vous puissiez répondre, dans les plus brefs délais, aux demandes des utilisateurs concernés concernant à leurs droits de consultation, de rectification, de transmission, mais également de suppression définitive de leurs données.

L’intervention de l’autorité de contrôle est progressive en fonction de la gravité du manquement de l’entreprise à une des obligations découlant du RGPD.
Les sanctions sont donc graduées en fonction de la violation du RGPD ainsi qu’en cas de récidive, tout en étant renforcées selon les dispositions légales précédentes.

Les infractions sont donc sanctionnées graduellement et en fonction de leur gravité :

• Etape 1 : Avertissement ou une mise en demeure de l’entreprise fautive avec rappel du devoir de mise en conformité des traitements de données sensibles au RGPD.
• Etape 2 : Injonction de cesser la violation.
• Etape 3 (dans certains cas) : Limitation ou suspension temporaire des traitements de données.
• Etape 4 : Sanctions administratives en cas de non-respect aux règles du RGPD après injonction vaine de l’autorité de contrôle.