Qu’est-ce que le RGPD ?

Il s’agit du Règlement Général sur la Protection des Données, instauré en mai 2018. C’est un cadre européen qui concerne le traitement des données et leur protection. Le RGPD renforce les normes et contraintes dans le traitement des données personnelles. Il s’applique dès qu’une entreprise, qu’un sous-traitant ou qu’une association traite de l’information et des données qui permettent d’identifier des personnes.

Ces données sont des informations dont les entreprises se servent pour proposer aux utilisateurs des services et produits adaptés à ce que les internautes recherchent.

En droit français, les données personnelles sont des informations en relation avec une personne physique. Dès qu’un site demande un nom, un prénom, une photo, un numéro de téléphone, un enregistrement vocal, une adresse postale, un numéro de sécurité sociale, une adresse IP…, la réglementation s’applique. Elle permet de clarifier les droits des utilisateurs (accès aux données, modification, portabilité…).

Point sur le RGPD

Si une entreprise stocke des données personnelles sans raison et sans prévenir, alors l’entreprise n’est pas en règle. Il est permis de collecter des données dans un but précis uniquement, en informant l’utilisateur. Mais cela passe par plusieurs étapes.

Les principaux points du RGPD pour un site internet

1. Informer les utilisateurs sur la collecte de données

Grâce au RGPD, l’entreprise doit informer l’utilisateur du site de la collecte de données, de la même façon que pour les cookies. Le site doit demander le consentement à l’utilisateur pour la collecte et le traitement de données personnelles (adresse IP, prénom, nom…) sur les pages de formulaires.

Dans chaque formulaire doivent être mentionnés : les données recueillies, la finalité de la collecte, le temps de conservation des données. Aussi, l’utilisateur a le droit de connaître ses données collectées et doit y avoir accès (mail, téléphone, courrier postal…).

2. Consentement

Le RGPD doit aussi se faire dans la limite du consentement : il est obligatoire de demander le consentement de l’utilisateur avant de prélever ses données. En effet, l’utilisateur doit forcément donner son avis par un acte précis (cocher une case, cliquer sur « J’accepte »…). Dans le règlement (Article 32), il est inscrit « Le consentement doit être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre […] son accord au traitement des données […]. ».

Il est interdit, désormais, de mettre un message comme « En poursuivant votre navigation, vous acceptez… », tout comme l’utilisation de cases pré-cochées, qui empêchent l’utilisateur d’être libre de ses droits. Il faut donc avoir un bouton « Autoriser / Refuser ». Aussi, le RGPD oblige d’apporter une preuve du consentement de l’internaute qui donne son accord ; la réponse est enregistrée et conservée. A savoir que ce consentement n’a pas de durée limitée. Il est valable autant de temps que l’utilisateur ne change pas son avis. Le consentement concernant les cookies a, lui, une durée maximum de 13 mois en revanche.

3. Protection des données

Pour protéger les données, il est aussi rassurant d’avoir un site en HTTPS aux yeux des internautes.

Une page avec le détail de la collecte de données doit être à disposition des internautes, notamment sur les sites qui demandent des informations comme le nom, prénom, adresse, localisation, adresse mail, adresse postale, téléphone, identification, mot de passe…

L’article 17 promet également le droit à l’oubli / droit à l’effacement : il permet de demander la suppression des données personnelles aux entreprises.

4. Les mentions juridiques & légales et les sanctions

Ces mentions, légales, doivent être à jour sur le site consulté : le RGPD stipule que les mentions légales doivent être en relation avec le traitement des données personnelles. Elles doivent aussi rediriger vers la politique de confidentialité du site : localisation, temps de conservation des données, objectif du consentement, démarche pour consulter les données, pour modifier ses abonnements, pour supprimer ses données…

Si le RGPD n’est pas respecté, les sites sont soumis à des sanctions financières. En cas d’infraction, les entreprises encourent des sanctions allant jusqu’à 20 millions euros d’amendes OU 4% du CA annuel. C’est le montant le plus élevé qui est retenu.

Que faire en cas de faille / piratage ?

En cas de faille du système, les données peuvent fuiter et les entreprises doivent obligatoirement contacter la CNIL (Commission Nationale de l’Information et des libertés) dans 72 heures au maximum. L’absence de consentement, le non respecte des droits des individus, la violation des règles sont les manquements principaux qui amènent à des sanctions. Une autre sanction, plus important est fixée (10 millions d’€, 2% du CA mondial) pour l’absence de registre du traitement des données, pour l’absence de notification…).

Toutes les organisations doivent se mettre à jour et en conformité pour ne pas avoir à subir ce type de traitement.