Règlement Général sur la Protection des Données (RGPD)
Le Règlement Général sur la Protection des Données est le cadre juridique européen qui encadre la collecte, le traitement et la conservation des données personnelles. Entré en vigueur le 25 mai 2018, il s'applique à toute organisation traitant des données de résidents européens, avec des amendes pouvant atteindre 4 % du chiffre d'affaires mondial.
Le RGPD a profondément transformé la manière dont les entreprises gèrent les données personnelles en Europe et au-delà. Il impose six principes fondamentaux : licéité, loyauté et transparence ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; et intégrité et confidentialité. Chaque organisation doit pouvoir démontrer sa conformité à tout moment.
Pour les acteurs du KYC et de la conformité, le RGPD crée un équilibre délicat entre l'obligation de vérifier l'identité des clients (imposée par les directives anti-blanchiment) et la nécessité de protéger leurs données personnelles. Les entreprises doivent définir des bases légales claires pour chaque traitement, mettre en place des durées de conservation proportionnées et garantir les droits des personnes concernées.
Les autorités de protection des données (CNIL en France, BfDI en Allemagne, AP aux Pays-Bas) veillent à l'application du règlement et peuvent prononcer des sanctions considérables. En 2023, Meta a reçu une amende record de 1,2 milliard d'euros pour transfert illégal de données vers les États-Unis, illustrant la portée extraterritoriale du texte.
Réglementations
Exemples concrets
- 1.Une banque en ligne doit obtenir le consentement explicite de ses clients avant de partager leurs données KYC avec un prestataire de vérification d'identité tiers, et documenter cette base légale dans son registre des traitements.
- 2.Un assureur reçoit une demande d'accès aux données d'un client : il doit fournir une copie complète de toutes les informations détenues dans un délai d'un mois, y compris les résultats de vérification d'identité.
- 3.Une fintech détecte une fuite de données affectant 5 000 utilisateurs : elle dispose de 72 heures pour notifier la CNIL et informer les personnes concernées si le risque est élevé.