C'est quoi le RGPD ?
Règlement Général sur la Protection des Données, entré en vigueur le mai 2018.
Il régule la façon dont les données sont collectées, utilisées et protégées, dans le but de renforcer la protection des données personnelles des individus.
Il représente la nouvelle norme en matière de protection des données, et ajoute des obligations par rapport à la Loi Informatique et Libertés de de 1978.
C'est quoi les "données personnelles" ?
Dans le contexte du RGPD, il s’agit des données qui permettent d’identifier une personne, et celles qui relèvent des ses différents comportements.
Exemples :
- Nom, prénom
- Adresse physique, adresse mail, numéro de téléphone
- Photos
- Numéro de sécurité sociale
- Numéro de carte bancaire
- Opinions religieuses ou orientation sexuelle
- Données biométriques : empreinte digitale, ADN
- Adresse IP
On peut ajouter les données comportementales :
- pages visitées
- recherches effectuées
- Etc.
A qui s'applique le RGPD ?
Aux organisations dont toute ou partie des activités est effectuée sur le territoire européen, qu’elles soient basées en Europe ou pas.
Le RGPD s’applique quand bien même les produits ou services sont fournis de manière gratuite.
Dans quels cas le RGPD ne s'applique pas ?
Les données ne tombent pas dans le périmètre du RGPD quand elles sont traitées :
- par les autorités compétentes en matière de sécurité, par exemple pour des buts de prévention ou poursuites judiciaires.
- par les institutions européennes officielles.
- Par les personnes physiques dans le cadre de leurs activités personnelles.
Les droits des utilisateurs
Obtenir le consentement des utilisateurs
Le RGPD impose aux organisations d’obtenir le consentement des utilisateurs quant à la collecte et au traitement de leurs données personnelles :
- La politique d’utilisation des données doit être claire et compréhensible par le commun des mortels. Pas de jargon ou formulations trop compliquées.
- Les cases pré cochées (Opt-out) sont interdites. Le choix d’accepter ou refuser la collecte des données revient entièrement à l’utilisateur (Opt-in).
- Si l’utilisateur doit avoir la possibilité de donner son accord facilement, il doit être aussi facile de revenir sur sa décision, et annuler la collecte et l’utilisation des données.
Enregistrer le consentement
En plus d’obtenir le consentement des utilisateurs, les organisations doivent aussi être en mesure de prouver qu’elles ont bien obtenu le consentement.
Les organisations doivent alors tenir un registre qui précise :
- L’identité des personnes qui donnent leur consentement.
- Le moment et la façon dont le consentement a été obtenu.
- Le formulaire utilisé lors de l’obtention du consentement.
Les conditions et documents légaux applicables au moment de l’obtention du consentement.
Le droit d’être informé
Les utilisateurs qui acceptent la collecte et le traitement de leurs données doivent être informés de manière claire sur la finalité de l’utilisation de leurs données, au moment où ils acceptent.
Devront être précisés :
- Les objectifs poursuivis par la collecte de données.
- Le délai de rétention des données.
- Les entités avec qui les données seront partagées.
Ceci est généralement fait à travers la politique de confidentialité. Les informations doivent être :
- Claires
- Concises
- Compréhensibles
- Accessibles facilement
Le droit d’accès
Sur demande des utilisateurs, les organisations ont l’obligation de donner un accès aux données collectées. Devront être fournies :
- Une vue d’ensemble des catégories de données traitées.
- Une copie des données concrètement collectées.
- Des informations à propos du traitement des données, ses objectifs, la date et le moyen de collecte, et des informations sur les organisations avec qui les données ont été partagées.
Le droit de rectification
Les utilisateurs ont le droit de modifier leurs données si elles sont incomplètes ou si elles ont changé depuis la date initiale de collecte.
Le droit à l’effacement
Aussi connu sous la formule « droit à l’oubli », il autorise l’utilisateur à demander que ses données soient supprimées. Ce droit n’est pas absolu, et peut être refusé dans certains cas, prévus à l’article 18 du règlement.
Le droit à la limitation du traitement
Les utilisateurs ont le droit de demander que le traitement de leurs données soit « gelé » pendant une période donnée, par exemple si les données collectées sont inexactes.
Ce droit se situe un niveau en dessous du droit à l’effacement. Dans le cadre du droit à la limitation du traitement, les données ne sont plus utilisées, mais restent stockées.
Le droit à la portabilité des données
Les utilisateurs ont le droit d’obtenir leurs données dans un fichier informatique standard (.txt ou .xls par exemple), dans le but de les utiliser sur une plateforme tierce.
Ce droit s’applique uniquement aux données qui permettent d’identifier l’utilisateur, et pas aux données anonymisées.
Le droit d’opposition
Les utilisateurs ont le droit de refuser que leurs données soient utilisées pour un but spécifique.
Exemples :
- Refuser le démarchage commercial, par téléphone ou email.
- Refuser d’apparaître dans l’annuaire universel des abonnés au téléphone.
Droit en matière de décision individuelle automatisée
Les utilisateurs ont le droit de demander une intervention humaine quand une décision prise automatiquement, par un algorithme, les désavantage.
Autres dispositions du RGPD
Notifier les autorités compétentes et les utilisateurs en cas de brèche de sécurité
En cas d’atteinte à l’intégrité ou la confidentialité des données collectées, par exemple pour un problème matériel ou une activité de piratage, les organisations doivent informer les personnes qui figurent dans la base de données.
Plus d’informations :
La mise en place d’un Délégué à la protection des données
DPO en anglais, pour Data Protection Officer, il conseille le responsable de traitement des données, et s’assure que le RGPD est respecté dans l’organisation concernée.
La mise en place d’un DPO n’est pas obligatoire pour toutes les organisations.
Plus de détails : rôles et missions du DPO
