Pour ce troisième volet de notre série d’articles, la protection des données en pratique, nous allons aborder le respect du droit des personnes. En effet, c’est le point central du RGPD, ce pour quoi il existe. Pour rappel, n’hésitez pas à consulter nos précédents articles: La protection des données (RGPD) en pratique: Introduction La protection des données en pratique: Le tri des données Contexte historique du respect du droit des personnes Avant 2018, les droits des personnes en ce qui concerne leur vie privée, en particulier vis-à-vis des technologies digitales étaient régis de façon plus ou moins différente dans chaque pays. Certains disent qu’avant le RGPD les gens n’avaient aucun droit relatif à leurs données en ligne. Il n’en est rien, mais les disparités entre les lois de chaque nation rendaient effectivement la mise en pratique du respect du droit des personnes compliquée. Exemple : un citoyen français visite un site allemand, quelles lois s’appliquent en regard de ses données personnelles ? Le RGPD met fin à ces problèmes de juridiction en uniformisant les lois pour l’Union européenne et en précisant qu’il fait foi pour tout ressortissant de l’UE. Concernant le respect du droit des personnes, le RGPD renforce votre obligation d’information auprès de vos clients, collaborateurs, etc. en regard de la collecte et du traitement que vous faites de leurs données. La première étape Ainsi, la première étape du respect du droit des personnes consiste à faire preuve de transparence et d’informer les gens pour lesquels les données ont été récoltées. Cela s’applique, peu importe le moyen de collecte utilisé. En conséquence, une personne qui vous remet sa carte de visite doit donc être informée de ce que vous allez en faire. La CNIL liste les mentions qu’il est nécessaire d’avoir dans cette phase d’information. Pourquoi recueillir les informations Quel est le principe qui vous autorise à les collecter Qui y a accès Le temps de conservation des données Comment les personnes concernées peuvent-elles exercer leurs droits Y a-t-il un transfère des données en dehors de l’UE Évidemment, vous n’êtes pas obligé de mentionner précisément tout ça sur chaque formulaire et à chaque fois que vous prenez une carte de visite. Vous pouvez éditer une politique de confidentialité et vous contenter d’informer vos utilisateurs, contacts, clients, etc. que vous collectez leurs données et leur indiquer de se référer à la politique de confidentialité. Vous pouvez vous appuyer sur les exemples de mentions fournies par la CNIL pour vous aider. Respect du droit des personnes : deuxième étape Cette étape consiste à leur permettre d’exercer effectivement leur droit. Vous devez donc pour cela être conscient du droit qu’ils ont sur leurs données, c’est à dire : Accès Rectification Opposition Effacement Portabilité Limitation de traitement Pour l’exercice de leur droit, vous pouvez prévoir un formulaire, un numéro de téléphone ou une adresse mail qu’ils pourront utiliser au besoin et en cas de questions relatives à leurs données. Pesez à indiquer clairement ce moyen de contact. Il est évidemment judicieux qu’ils n’aient pas besoin de chercher dans toutes les pages de votre site ou dans tous les documents contractuels pour trouver cette information. Faites en sorte que votre organisation interne vous permette de répondre à leur demande dans de très courts délais. Vous avez en effet un mois maximum pour traiter toute demande relative aux données personnelles. Conclusion Le RGPD a été créé dans le but de renforcer le droit des personnes sur leurs données personnelles. Il est donc normal que le respect de ce droit soit au centre d’une stratégie de conformité avec le RGPD. Cela vous permet évidemment d’échapper à une lourde amende et des plaintes auprès de la CNIL, mais cela peut également vous éviter une mauvaise publicité, notamment sur les réseaux sociaux, et augmente la qualité de votre relation de confiance avec vos clients. Nous parlerons de sécurité des données dans notre prochain article.

Nous avions parlé dans notre article « La protection des données (RGPD) en pratique : Introduction » de l’importance de faire un listing de traitement des données, comme demandé par le RGPD. Cependant, cela ne suffit pas tout à fait pour être en règle. La protection des données en pratique : 2e étape Une fois ce listing créé, il vous faudra procéder au tri des données. Ce travail consiste à vérifier que toutes celles que vous détenez sont pertinentes et que vous avez bien le droit de les avoir. Pour effectuer cette analyse, la CNIL vous propose de réfléchir aux points suivants : Les renseignements en votre possession sont-ils nécessaires à votre activité ? Exemple : Vous avez l’adresse postale de tous vos clients. Toutefois, votre entreprise vend des contenus numériques sous forme de lien de téléchargement. L’acheteur paye en ligne et reçoit une confirmation de commande par e-mail. L’adresse n’est donc jamais utilisée. Dans ce cas, cette donnée n’est pas pertinente et doit être supprimée. Traitement des données sensibles Selon la CNIL, une donnée sensible se définit de la façon suivante : Ce sont des informations qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique.  La CNIL, https://www.cnil.fr/fr/definition/donnee-sensible Concrètement, vous n’avez pas le droit de récolter dans votre formulaire de demande d’offre la couleur de peau simplement par curiosité. Vous ne pouvez conserver ces informations que si la personne a volontairement et spécifiquement exprimé son consentement, si elle les a rendues publiques, si elles permettent de protéger la vie humaine, s’il y a une autorisation de la CNIL, ou si elles se rapportent aux membres d’une association ou organisation politique, religieuse, etc. Attention toutefois concernant le dernier point : une organisation politique aura nécessairement comme données sensibles l’orientation politique de ses adhérents. Ce n’est pas pour autant qu’elle peut enregistrer leur appartenance religieuse. Accès aux données Un point fondamental de ce tri des données est de vérifier qui y a accès. Exemple : Il ne serait pas pertinent que votre secrétaire, qui s’occupe de la partie commerciale de l’entreprise, ait accès aux coordonnées bancaires des employés. En revanche, c’est une information à laquelle le préposé aux salaires doit avoir accès. Il est donc important que seules les personnes ayant légitimement besoin d’une donnée puissent y accéder. Le délai de conservation des données Vous vous en doutez, on ne peut pas conserver indéfiniment les renseignements personnels de quelqu’un. Qu’elles sont donc les règles en la matière ? Difficile ici de vous dire précisément combien de temps vous pouvez garder vos données. En effet, cela dépend de votre entreprise, des buts de leur collecte et des devoirs légaux. Par exemple, vous devrez sauvegarder les informations de facturation pendant 10 ans selon le code du commerce et cela même si une personne n’est plus cliente. Ainsi, la CNIL définit les cycles de vie des données en trois points : Les archivages ne sont pas forcément utilisés. De plus, dans le cas où ils existent seules des personnes spécialement habilitées ont le droit de les consulter. S’il est difficile de vous fournir une durée précise de conservation, vous pouvez partir du principe que vous pouvez stocker chaque donnée jusqu’à ce que l’objectif de sa collecte soit atteint. Par exemple, vous ne garderez pas les informations récoltées dans le cadre d’une proposition commerciale au-delà de la réponse négative du prospect. Pour plus de détail sur cette durée de conservation, vous pouvez consulter le guide pratique fourni par la CNIL. Le tri des données : conclusion Comme vous avez pu le constater, ce tri des données va beaucoup dépendre de votre entreprise et de vos spécificités. En revanche, si vous vous sentez perdu, nous avons la possibilité, grâce à notre partenaire, de vous aider dans vos démarches. Contactez-nous !