Politique de Protection des Données Personnelles pour la Conformité RGPD en Belgique
.png)
DPO Consulting Rejoint Grant Thornton
• Une charte RGPD est un document interne qui traduit les obligations relatives au RGPD et à la loi belge du 30 juillet 2018 en règles concrètes pour l'organisation.
• L'Autorité de protection des données (APD) peut infliger des amendes administratives allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel.
• Une charte solide couvre six axes complémentaires : les principes de protection des données, la base légale du traitement, la minimisation des données, la conservation, la sécurité et les droits des personnes concernées.
• La mise en œuvre d'une charte RGPD repose sur une gouvernance claire, une formation continue du personnel, ainsi que des révisions régulières.
• Sans charte formalisée, une organisation s'expose au risque de ne pas être en mesure de démontrer sa conformité lors d'un contrôle de l'APD ou d'une plainte d'un client.
Une charte RGPD en Belgique, aussi appelée charte de protection des données personnelles, est un document interne à une organisation ou une entreprise. Elle permet de formaliser les engagements en matière de protection des données personnelles, conformément au Règlement (UE) 2016/679 et à la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel. La charte RGPD vient ainsi encadrer ces activités de traitement afin de garantir qu’elles respectent les exigences réglementaires et légales, aussi bien au niveau européen que belge.
Une charte RGPD en Belgique n'est donc pas un simple document administratif. C'est un outil stratégique qui permet à une organisation ou à une entreprise de structurer ses processus internes, de sensibiliser ses collaborateurs et, in fine, de démontrer sa conformité en cas de contrôle de l'Autorité de protection des données (APD). Chaque organisation (entreprise privée, administration publique, association) doit adapter cette charte à ses spécificités.
Alors que le RGPD pose le cadre légal commun à toute l'Union européenne en matière de traitement et de protection des données personnelles, la charte décline ce règlement européen en fonction des spécificités, des besoins et des enjeux d’une organisation donnée. Concrètement, la charte RGPD va décrire et définir la typologie de données traitées par une entreprise, les finalités poursuivies, les responsabilités internes et les mesures de sécurité mises en place. Elle complète ainsi la politique de confidentialité destinée au public en s'adressant en priorité aux collaborateurs et aux organes de gouvernance.
En Belgique, la charte RGPD s'inscrit dans le cadre de la loi du 30 juillet 2018, qui complète et précise l'application du RGPD. Cette loi introduit, par ailleurs, des dispositions spécifiques pour les autorités publiques, qui bénéficient d'une exonération partielle des amendes administratives, sauf lorsqu'elles agissent en concurrence avec le secteur privé.
Dès qu'une organisation traite des données de personnes en Belgique, elle entre dans le champ d'application du RGPD et de la loi du 30 juillet 2018, indépendamment de sa taille, de son secteur ou de son statut public ou privé.
Une charte RGPD est alors nécessaire, pour plusieurs raisons concrètes :
• Conformité légale : alors que le RGPD et la loi belge imposent la mise en œuvre de mesures techniques et organisationnelles pour protéger les données personnelles, la charte va, quant à elle, permettre de documenter ces mesures et de prouver la conformité en cas d'audit ou de contrôle.
• Protection des droits des personnes : la charte garantit le respect des droits des individus en matière de données personnelles et encadre la réponse aux demandes des personnes concernées.
• Réduction des risques financiers et réputationnels : une charte bien structurée permet de limiter le risque d’exposition à des amendes pouvant atteindre jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial et, in fine, préserve la réputation de l’organisation.
• Avantage concurrentiel : en se dotant d’une charte, une organisation est en mesure de démontrer sa conformité, ce qui contribue à renforcer la confiance des clients, des partenaires et des investisseurs, dans un contexte où la protection des données s’est imposée comme un enjeu stratégique et un levier de compétitivité.
• Responsabilisation : alors que le RGPD oblige les organisations à démontrer leur conformité à tout moment, la charte est l'outil clé pour y répondre.
Une charte RGPD exhaustive reprend les piliers qui structurent l'article 5 du RGPD et couvre les exigences opérationnelles qui en découlent. Pour chaque organisation, l’enjeu est alors de traduire ces piliers en règles pratiques, vérifiables et adaptées à son contexte.
Les principes de protection des données forment le socle de toute charte RGPD et guident l'ensemble des activités de traitement au sein d’une organisation. Concrètement, les données doivent être traitées de manière licite, loyale et transparente pour la personne concernée. Elles doivent être collectées pour des finalités déterminées, explicites et légitimes, et elles ne peuvent pas être traitées ultérieurement de manière incompatible avec ces finalités. D’ailleurs, l’organisation est tenue de ne collecter que les données strictement nécessaires à la réalisation des finalités identifiées.
En parallèle, les données doivent être tenues à jour et rectifiées. L’organisation ne doit pas les conserver plus longtemps que nécessaire. Elle doit également garantir leur intégrité et confidentialité en les protégeant contre les accès, les modifications ou les divulgations non autorisés. Enfin, au sein de l’organisation, le responsable du traitement doit pouvoir démontrer le respect de ces principes à tout moment.
Pour ce faire, ce dernier peut s’appuyer sur la charte RGPD de l’entreprise qui détaille comment chacun de ces principes est garanti, mais explicite aussi les procédures de contrôle de la qualité des données, les clauses contractuelles types…
Le traitement de données personnelles doit reposer sur l'une des six bases légales prévues par l'article 6 du RGPD :
• Consentement : la personne concernée a donné son accord libre, spécifique, éclairé et univoque concernant le traitement de ses données.
• Exécution d'un contrat : le traitement est nécessaire à l'exécution d'un contrat qui implique la personne concernée.
• Obligation légale : le traitement est nécessaire pour respecter une obligation légale (déclaration fiscale…).
• Protection des intérêts vitaux : le traitement des données est nécessaire pour protéger les intérêts vitaux d'une personne physique.
• Mission d'intérêt public : le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relève de l'exercice de l'autorité publique.
• Intérêt légitime : le traitement est nécessaire aux intérêts légitimes du responsable de traitement ou d'un tiers, à condition que ces intérêts ne prévalent pas sur les droits et libertés de la personne concernée.
Pour chaque catégorie de traitement, la charte de protection des données personnelles doit lister la base légale applicable et documenter les justifications correspondantes.
La minimisation des données impose aux organisations de ne collecter que les données strictement nécessaires à une finalité définie, explicite et légitime, sans les réutiliser ensuite pour un autre objectif.
Dans ce cadre, la charte RGPD doit préciser les types de données collectées ainsi que les finalités pour lesquelles ces données sont collectées : gestion des clients, marketing, ressources humaines.
La charte RGPD en Belgique doit également déterminer les mesures mises en place pour garantir que seules les données nécessaires sont traitées, fixer les règles de collecte, mais aussi interdire l'usage de données superflues sans justification documentée.
Les données personnelles ne peuvent être conservées que le temps nécessaire à la finalité du traitement, après quoi elles doivent être supprimées ou anonymisées.
La charte doit ainsi définir :
• Les durées de conservation pour chaque type de données, en fonction des finalités et des obligations légales.
• Les procédures de suppression ou d'anonymisation des données une fois la durée de conservation expirée.
• Les mécanismes de révision permettant de garantir la conformité aux exigences légales et aux besoins de l'organisation à ce niveau.
La charte RGPE doit tenir compte du fait qu’en Belgique certaines données, comme les données comptables ou médicales, sont soumises à des obligations de conservation spécifiques.
L'article 32 du RGPD impose de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque. Ces mesures s’articulent autour de trois volets :
• Les mesures techniques (chiffrement des données sensibles, mots de passe robustes et authentification multifacteur, mises à jour régulières des systèmes, sauvegardes sécurisées).
• Les mesures organisationnelles (limitation des accès selon le principe du besoin d'en connaître, formation et sensibilisation des collaborateurs, clauses de sous-traitance conformes à l'article 28 du RGPD).
•La confidentialité (accords de confidentialité signés par les collaborateurs, accès restreint aux données sensibles aux seules personnes autorisées).
La charte doit non seulement couvrir l’ensemble de ces points, mais également désigner les responsables de la sécurité des données et détailler les procédures à suivre en cas d'incident.
A lire : Comprendre le RGPD : les fondamentaux pour une conformité durable
En Belgique, la loi du 30 juillet 2018 complète le RGPD et précise les points que le règlement européen renvoie aux États membres, notamment le régime des sanctions et le rôle de l'Autorité de protection des données.
En Belgique, comme dans le reste de l'Union européenne, chaque traitement de données personnelles doit reposer sur une base légale valable. La charte doit identifier cette base pour chaque traitement, documenter les justifications correspondantes et en informer les personnes concernées.
La loi belge précise également l'application du RGPD aux secteurs public et privé. Elle prévoit un régime particulier pour les autorités publiques, qui sont exonérées des amendes administratives. Cette exonération ne s'applique toutefois pas lorsqu'elles agissent en concurrence avec le secteur privé. C’est notamment le cas pour les marchés de transport ou de livraison. Pour les autorités publiques belges, la base légale la plus courante est la mission d'intérêt public. Si elles perdent le bénéfice de cette exonération, elles doivent alors se conformer pleinement au RGPD, comme une entreprise privée.
Le RGPD accorde aux personnes concernées plusieurs droits renforcés :
• Droit d'accès permettant de consulter ses données personnelles.
• Droit de rectification pour corriger les données inexactes.
• Droit à l'effacement ou « droit à l'oubli » pour demander la suppression des données, dans certains cas.
• Droit à la limitation du traitement pour limiter le traitement des données.
• Droit à la portabilité pour recevoir ses données dans un format structuré et les transmettre à un autre responsable du traitement.
• Droit d'opposition pour s'opposer au traitement de ses données pour des motifs légitimes.
• Droit de ne pas faire l'objet d'une décision entièrement automatisée pour demander une intervention humaine dans certaines décisions.
• Droit de retirer son consentement à tout moment, sans que cela affecte la licéité du traitement effectué avant ce retrait.
La charte RGPD doit ainsi prévoir des procédures claires pour recevoir, authentifier et traiter ces demandes, dans un délai de réponse d'un mois, qui peut être étendu à deux mois en cas de complexité. Elle doit également fournir une communication transparente sur les modalités d'exercice de ces droits.
La loi belge impose de garantir la confidentialité des données par des engagements contractuels avec les sous-traitants à plusieurs niveaux comme le chiffrement des données sensibles, notamment médicales et financières, la limitation des accès aux données selon le principe du besoin d'en connaître, la sensibilisation des collaborateurs aux risques liés à la protection des données, ou encore la mise en place de contrats garantissant un niveau de protection équivalent à celui du responsable du traitement, conformément à l'article 28 du RGPD.
La charte doit, par ailleurs, documenter ces mesures et prévoir des audits de conformité réguliers pour vérifier leur efficacité.
Toute violation de données présentant un risque pour les personnes concernées doit être notifiée à l'Autorité de protection des données dans les 72 heures suivant sa découverte, et aux personnes concernées elles-mêmes sans délai indu lorsque le risque est élevé.
Pour gérer ces situations sensibles, la charte RGPD doit prévoir :
1. Une procédure de détection des violations de données.
2. Un processus de notification à l'APD et, si nécessaire, aux personnes concernées.
3. Un registre des incidents documentant chaque violation et les mesures correctives prises.
Le principe de responsabilité oblige les organisations à pouvoir démontrer leur conformité à tout moment. Pour répondre à cette obligation, la charte doit prévoir :
• La tenue d’un registre des activités de traitement, documentant les finalités, les catégories de données, les destinataires et les durées de conservation.
• Des audits réguliers pour vérifier l'efficacité et la conformité des mesures de protection des données.
• La désignation d'un délégué à la protection des données (DPO), obligatoire pour les organismes publics.
• Le traitement à grande échelle de données sensibles ou de situations impliquant un suivi régulier et systématique des personnes concernées.
• Des politiques internes encadrant la gestion des données, comme une politique de conservation ou une politique de sécurité.
En matière de conformité au RGDP, le DPO joue un rôle clé. Pour mener à bien ses missions, il ne doit pas se retrouver dans une situation de conflit d'intérêt, notamment dans le cadre d’un cumul de fonctions. L’externalisation de la fonction de DPO permet de garantir une impartialité totale de cet acteur stratégique de la protection des données personnelles.
La mise en œuvre d’une charte RGPD en Belgique, de l'approbation initiale au suivi continu de son efficacité, s’appuie sur une démarche structurée en quatre étapes complémentaires.
La mise en œuvre d'une charte RGPD en entreprise nécessite une approche structurée, portée par la direction et un comité dédié. La direction joue un rôle clé dans la mise en œuvre de la charte RGPD. Elle alloue notamment les ressources nécessaires et supervise la création d’un comité de conformité pluridisciplinaire (juridique, informatique, ressources humaines) chargé de rédiger, mettre en œuvre et suivre la charte. La direction approuve formellement la charte et assure sa diffusion auprès de tous les collaborateurs.
La charte n'a d'effet que si les collaborateurs s’en emparent, en maîtrisent les principes et l’appliquent au quotidien. Pour ce faire, l’organisation doit organiser des formations régulières sur les bonnes pratiques pour assurer la montée en compétences continue des collaborateurs sur cet enjeu de la protection des données. Cela passe aussi par la mise à disposition de supports de communication clairs et lisibles pour rappeler les obligations et les risques liés à la protection des données, les procédures pour signaler un incident…
Une charte RGPD n'est pas un document statique. Elle a vocation à évoluer au fil des évolutions légales, technologiques et organisationnelles. De manière générale, la charte doit être mise à jour au moins une fois par an, mais aussi dans des situations précises, notamment suite à une modification de la législation, une nouvelle activité de traitement, un incident de sécurité, un audit ou une inspection de l’APD, un changement dans les processus internes (nouveau logiciel, sous-traitant…). Chaque révision doit être datée et tracée pour prouver et documenter le suivi dans le temps.
Le suivi de l'efficacité de la conformité repose sur des indicateurs concrets (nombre de demandes des personnes concernées traitées dans les délais, d'incidents détectés et résolus…), des audits internes réguliers, une démarche d’amélioration continue (prise en compte des retours des collaborateurs et des personnes concernées, utilisés pour améliorer la charte).
Certaines erreurs peuvent fragiliser la charte RGPD et exposer l'organisation à des sanctions, même si cette dernière a été formalisée dans un document écrit partagé avec toutes les parties prenantes.
Les principaux écueils sont :
· Une charte rédigée à partir d’un modèle générique sans adaptation à la réalité et au contexte de l’entreprise ou de l’organisation.
· Une charte qui ne précise pas la base légale de chaque traitement.
· Un manque de transparence et de communication claire envers les personnes concernées.
· Une charte qui néglige les sous-traitants, faute de les référencer et de vérifier leurs clauses contractuelles conformes à l'article 28 du RGPD.
· Une procédure de gestion des incidents mal définie ou inexistante.
· Des collaborateurs insuffisamment formés, ce qui l'empêche d'être réellement appliquée
· Une charte qui n’est jamais mise à jour
Le non-respect des obligations en matière de RGPD en Belgique expose les organisations à plusieurs types de sanctions, financières et non financières, notamment :
• Des amendes administratives pouvant aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les infractions moins graves, comme l'absence de registre des activités de traitement, ou à 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour les infractions graves, comme la violation des principes de base du RGPD ou l'absence de base légale pour un traitement.
• Des mesures correctives comme des injonctions de mise en conformité, des limitations temporaires ou définitives du traitement, des ordres de rectification, de restriction ou d'effacement des données.
• En matière de responsabilité pénale, certaines violations, comme le traitement illicite de données sensibles, peuvent entraîner des sanctions pénales selon la nature de l'infraction.
• Sur le plan civil, les personnes concernées peuvent intenter une action en justice pour obtenir réparation d'un préjudice lié à une violation de leurs données.
• Une violation peut nuire à la réputation et à la confiance des clients, des partenaires et des investisseurs, indépendamment de toute sanction financière.
Si le RGPD n'impose pas explicitement un document appelé « charte », le règlement européen impose le principe de responsabilité, qui oblige les organisations à documenter leurs traitements et à démontrer leur conformité à tout moment. En pratique, une charte RGPD formalisée reste le moyen le plus efficace d'y répondre. En Belgique, elle devient incontournable pour les autorités publiques et les organisations qui traitent des données à grande échelle ou des données sensibles, notamment médicales ou financières.
Une charte RGPD ou charte de protection des données personnelles doit contenir au minimum les éléments suivants :
• Les principes de protection des données.
• Les bases légales retenues pour chaque traitement.
• Les finalités et catégories de données traitées.
• Les destinataires des données, notamment les sous-traitants et partenaires.
• Les durées de conservation des données.
• Les droits des personnes concernées et les procédures pour les exercer.
• Les mesures de sécurité mises en place.
• Les procédures de gestion des incidents.
• Les responsabilités des collaborateurs et des sous-traitants.
• Les modalités de révision et de mise à jour de la charte.
Un modèle charte RGPD peut servir de point de départ, mais il doit toujours être adapté aux traitements réels de l'organisation.
La responsabilité du suivi et de l’évolution de la charte RGPD en Belgique incombe à plusieurs acteurs aux rôles différents et complémentaires. Le délégué à la protection des données (DPO) supervise la conformité et veille à ce que la charte reste à jour. La direction porte la responsabilité ultime de la conformité et soutient la mise en œuvre de la charte. Les responsables de chaque service (ressources humaines, informatique, marketing) appliquent ses dispositions dans leurs activités quotidiennes.
Une charte RGPD doit être révisée au moins une fois par an, ainsi qu'en cas de changement majeur : nouvelle activité de traitement, modification de la législation, incident de sécurité, audit ou inspection de l'APD, ou changement dans les processus internes comme un nouveau logiciel ou un nouveau sous-traitant.
Non, une charte RGPD ne remplace pas une politique de confidentialité : les deux documents ont des objectifs différents et restent néanmoins complémentaires.
Le tableau ci-dessous compare ces deux documents selon leur public, leur objectif, leur contenu et leur caractère obligatoire.
Oui, toute organisation, y compris les petites entreprises, peut et doit mettre en place d'une charte RGPD. Généralement, une PME est soumise à des obligations moins strictes qu'une grande organisation : elle n'a, par exemple, pas toujours l'obligation de désigner un DPO si elle ne traite pas de données sensibles à grande échelle.
Néanmoins, une PME doit se conformer au RGPD. Dans ce cadre, une charte RGPD adaptée à sa taille lui permet de protéger les données de ses clients et employés, d'éviter les sanctions en cas de non-conformité et de renforcer la confiance de ses clients et partenaires.
Les deux termes sont souvent utilisés de manière interchangeable : certains parlent de charte RGPD, d'autres de charte de protection des données personnelles, pour désigner ce même document interne. Dans certaines organisations, la « politique de protection des données » désigne toutefois un document plus large qui englobe la charte RGPD, les procédures de sécurité informatique et la gouvernance des données dans son ensemble.
Elles peuvent démontrer leur conformité au travers de plusieurs actions, comme
• Tenir un registre des activités de traitement documentant l'ensemble des traitements de données personnelles.
• Mettre en place des audits internes réguliers pour vérifier l'efficacité des mesures de protection des données.
• Former les collaborateurs aux bonnes pratiques en matière de protection des données.
• Documenter les procédures, par exemple les contrats avec les sous-traitants et les registres d'incidents.
• Coopérer avec l'APD en répondant à ses demandes d'information et en lui fournissant les documents nécessaires en cas de contrôle.
• Publier une politique de confidentialité informant les personnes concernées de leurs droits et des mesures de protection mises en place.
En cas de contrôle, l'organisation doit être en mesure de présenter sa charte RGPD et de prouver qu'elle est appliquée et respectée.
Investir dans les efforts de conformité au RGPD peut peser lourdement sur les grandes entreprises ainsi que sur les petites et moyennes entreprises (PME). Le recours à une ressource ou à une assistance externe peut alléger la charge d'un audit interne pour l'ensemble des entreprises et alléger la pression sur les finances, les capacités technologiques et l'expertise de l'entreprise.
Les auditeurs externes et les partenaires experts tels que DPO Consulting sont bien placés pour aider les organisations à gérer efficacement la nature complexe des audits du RGPD. Ces professionnels formés agissent comme une extension de votre équipe, aidant à rationaliser les processus d'audit, à identifier les domaines à améliorer, à mettre en œuvre les changements nécessaires et à garantir la conformité au RGPD.
Confier le bon partenaire offre l'avantage de l'impartialité et du respect des normes du secteur et permet de débloquer une multitude de ressources telles que des informations spécifiques au secteur, ce qui se traduit par des évaluations impartiales et une conformité réussie. Travailler avec DPO Consulting se traduit par un gain de temps précieux et allège la charge de travail du personnel interne, tout en réduisant considérablement les coûts de l'entreprise.
RGPD et conformité
DPO et représentation externalisés
Formation et assistance
.svg)
