Le RGPD dans le domaine de l'octroi de subventions : comment les bailleurs de fonds traitent les données à caractère personnel des candidats dans le respect de la loi

Comment le RGPD s'applique-t-il aux programmes de subventions ?

Le Règlement général sur la protection des données (RGPD) s'applique dès lors qu'un programme de subventions collecte des données à caractère personnel concernant des personnes physiques situées dans l'UE ou l'EEE. Cela couvre une grande partie du contenu d'un dossier de candidature : noms des candidats, coordonnées, CV, informations financières et, parfois, des données relevant de catégories particulières, telles que des informations relatives à la santé ou à des caractéristiques démographiques.

Son champ d'application est large. Un bailleur de fonds traitant les données à caractère personnel de personnes résidant dans l'UE est soumis au RGPD, quel que soit le lieu où il est établi ; ainsi, les bailleurs de fonds internationaux ne se trouvent que rarement hors de son champ d'application du simple fait que leur siège social est situé ailleurs.

‍

Quelles sont les obligations imposées par le RGPD à un bailleur de fonds ?

Ce fondement constitue une base légale pour le traitement des données. En vertu de l'article 6, un bailleur de fonds doit être en mesure de invoquer une base valable, le plus souvent le consentement du demandeur, une nécessité contractuelle ou une obligation légale, et doit identifier et documenter la base applicable avant de collecter des données, plutôt que de partir du principe que le consentement couvre tous les cas de figure.

Au-delà de la base légale, le RGPD impose le principe de minimisation des données (ne collecter que ce qui est réellement nécessaire), la transparence quant à l'utilisation des données, des durées de conservation bien définies, ainsi que le respect des droits des personnes concernées, notamment la possibilité de supprimer des données à caractère personnel sur simple demande.

‍

En quoi le RGPD diffère-t-il de la diligence raisonnable ?

Ces deux notions sont souvent confondues, mais elles répondent à des préoccupations opposées. Le RGPD vise à protéger le demandeur : il s'agit de la manière dont ses données à caractère personnel sont collectées, sécurisées et conservées. La diligence raisonnable consiste quant à elle à examiner minutieusement le demandeur : il s'agit de vérifier que le bénéficiaire potentiel est légitime et qu'il remplit les conditions requises pour bénéficier d'un financement.

Un programme doit concilier ces deux aspects, qui peuvent parfois aller à contre-courant l’un de l’autre. La diligence raisonnable peut nécessiter de recueillir davantage d’informations sur un candidat, tandis que le RGPD impose de ne collecter que les données strictement nécessaires ; c’est précisément ce genre de tension qu’une politique de données formalisée est censée résoudre.

‍

Intégrer la conformité au RGPD dans une plateforme de subventions

La gestion manuelle de ces obligations est risquée. Une plateforme logicielle de gestion des subventions intègre ces fonctionnalités : des droits d'accès basés sur les rôles limitent les personnes autorisées à consulter les données des candidats, les règles de conservation peuvent être appliquées automatiquement et chaque action est consignée dans la piste d'audit; la conformité est ainsi une caractéristique intrinsèque du système plutôt qu'une question de discipline individuelle.