RGPD quoi ?

  Le règlement général sur la protection des données, ou RGPD.

• Il établit les règles relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et les règles relatives à la libre circulation de ces données.
• Il protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel.

Voici 5 pistes pour être conforme à ce règlement au bureau.

Le Cloud

Vous utilisez un service cloud (stockage de données, SAAS) ? Renseignez-vous sur votre hébergeur !

Les entreprises sont dans l’obligation de connaître la localisation géographique des "data centers" et de se renseigner sur les techniques de sauvegarde des fournisseurs de cloud.

Pour être conforme aux recommandations RGPD, les données personnelles doivent être hébergées chez un fournisseurs de Cloud européen certifié (souverain). Le Cloud souverain est un hébergement dont l’ensemble des traitements effectués sont physiquement réalisés dans les limites du territoire national par une entité de droit français et en application des lois et normes françaises.

Les archives papiers

Le Règlement général sur la protection des données vous oblige à protéger les informations personnelles des autres. Les données papier et les données informatiques, évidemment.

Le RGPD limite la conservation de ces données, spécifie la nature des documents à conserver et recommande des méthodes de destruction pour protéger toutes les données sensibles.

Par conséquent, dès que la raison pour laquelle vous conservez des données personnelles n'a plus lieu d'être, que la période de conservation légale est terminée ou que le délai de prescription est arrivé à son terme, vous êtes tenu de les détruire de manière définitive.

Le RGPD, règlement général sur la protection des données, encadre la circulation et le traitement des données à caractère personnel des personnes physiques au sein de l’Union européenne. Les entreprises sont dans l’obligation de s’y conformer depuis 2018.

La CNIL impose d’ailleurs la tenue d’un registre avec la nature des données personnelles conservées. En voici un exemple

Les logiciels et outils d’entreprises

Gare à la sécurité !

La quasi-totalité des logiciels et outils SAAS contiennent des données personnelles dont vous devez assurer la protection.

Aussi, il convient de privilégier les éditeurs de logiciels et de SAAS Européens qui sont également tenus de se conformer au RGPD.

Tout comme le cloud, assurez-vous du lieu d’hébergement des données et des techniques de sauvegarde. Si vous optez pour un éditeur américain, gardez à l’esprit que la notion de protection des données personnelles est absente hors Europe.

Attention:  les entreprises doivent signaler tout piratage de données à caractère personnel à une autorité compétente et aux personnes concernées dans un délai de 72 heures au maximum.

Les sites vitrines

Vous pensez que les sites vitrines ne récoltent pas de données personnelles ? Vous avez faux !

Il suffit que le site soit relié à Google Analytics ou d’autres outils de mesures d’audience pour que des adresses IP soient collectées. Or, l’adresse IP constitue une donnée personnelle.

On parle alors de cookies de mesure d’audience mais il existe également les cookies de partage (pour les blogs par exemple), les cookies publicitaires, etc.

C’est pour ces raisons, entre autres, que vous êtes dans l’obligation, site vitrine ou marchand, d’informer vos utilisateurs que votre site utilise des cookies pour vous conformer aux réglementations européenne RGPD. L’utilisateur doit être notifié et doit pouvoir donner son consentement ou exprimer son refus à l’utilisation des cookies dès qu’il arrive sur votre site.

Il en est de même pour les mentions légales qui doivent obligatoirement figurer sur votre site. Dans le cas contraire, vous vous exposez à une sanction pouvant aller jusqu’à 75000€ d’amende. Ça fait cher les mentions légales…

Les emailing

Un seul mot : consentement.

Le fait qu’un prospect vous ai contacté par le biais d’un formulaire de contact n’est pas son consentement à figurer dans une liste de diffusion. De même, le fait de disposer d’une liste de prospects achetée sur internet ne peux constituer une liste de diffusion si vous n’avez pas le consentement des individus. L’adresse email étant une donnée personnelle bien entendu.

Dans tous les cas vous devez expressément informer l’utilisateur à quelles fins seront utilisées ses données et avoir son consentement. Vous pouvez donc opter pour un formulaire à case en sollicitant son accord pour recevoir des newsletters, des articles, de la publicité…

Si toutefois vous avez omis de solliciter le consentement, l’utilisateur doit pouvoir se désinscrire à tout moment de votre liste de diffusion.

Pour ceux qui comme moi apprécie le support papier pour travailler, la littérature sur le sujet est relativement bien faite et  à jour :  RGPD 2024 notamment le "Manuel de survie" de Fabrice Mattatia pour son approche accessible.

Retour :Le blog