RGPD
0 j'aime•1,424 vues
Le Règlement Général sur la Protection des Données (RGPD) renforce la protection des données personnelles au sein de l'Union Européenne, s'appliquant directement à tous les États membres depuis mai 2018. Il impose des obligations aux responsables du traitement des données et aux sous-traitants, tout en garantissant des droits spécifiques aux personnes concernées, comme le droit à l'accès et à l'effacement de leurs données. Les violations de ces règles peuvent entraîner des sanctions administratives significatives, et les organisations doivent intégrer la protection des données dès la conception de leurs services.
RGPD
- 1. RGPD Règlement général sur la protection des données Le règlement no 2016/679, dit règlement général sur la protection des données (RGPD, ou encore GDPR, de l'anglais General Data Protection Regulation), est un règlement de l'Union européenne qui constitue le texte de référence en matière de protection des données à caractère personnel. Il renforce et unifie la protection des données pour les individus au sein de l'Union européenne. Ce règlement a été définitivement adopté par le Parlement européen le 14 avril 2016. Ses dispositions sont directement applicables dans l'ensemble des 28 États membres de l'Union européenne à compter du 25 mai 2018. Les principaux objectifs du RGPD sont d'accroître à la fois la protection des personnes concernées par un traitement de leurs données à caractère personnel et la responsabilisation des acteurs de ce traitement.
- 2. Glossaire Donnée personnelle Une donnée permettant d’identifier directement ou indirectement une personne physique Directe -> Nom Prénom, mail (quand il y a le nom), photo Indirecte -> n° de sécurité sociale, n°CB, adresse IP, plaque immatriculation véhicule… Donnée sensible La santé, orientation sexuelle, opinions politiques, religieuses, pays d’origine, etc Traitement Ce qui est visé par la réglementation, toute opération sur la donnée : stockage, organisation, collecte, revente, envoi de newsletter, statistiques de consultations. Qui est soumis aux obligations du RGDP ? Organismes privée ou publique à des fins professionnelles. Les sanctions Sanction administrative : jusqu’à 4 % du chiffre d’affaires annuel mondial de l’entreprise RGPD Règlement général sur la protection des données
- 3. Qui est responsable ? Responsable du traitement : il détermine les finalités, les objectifs du traitement. C’est le responsable de la com, le directeur de l’établissement… Sous-traitant : Celui qui traite la donnée pour le compte du responsable. Hébergeur, webmaster, agence de com, fournisseur de solutions emailing…. et leurs sous-traitants. Ils engagent leur responsabilité conjointement. RGPD Règlement général sur la protection des données
- 4. La Cnil La Commission nationale de l'informatique et des libertés de France est une autorité administrative. La CNIL est chargée de veiller à ce que l’informatique soit au service du citoyen et qu’elle ne porte atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. Elle donne des conseils aux internautes sur l’usage des réseaux sociaux, la maîtrise de ses données, comment réagir en cas de problèmes …. https://www.cnil.fr/fr/10-conseils-pour-rester-net-sur-le-web https://www.cnil.fr/fr/configurer Il n’y a plus de déclarations à la Cnil quand on traite des données personnelles. La Cnil peut faire des contrôles auprès des personnes ou organismes traitant des données personnelles. Les personnes controlées devront être en capacité de démontrer qu’ils ont respecté les obligations. En cas de violations de données privées une déclaration doit être faite à la Cnil, une violation cela peut-être le vol de son ordinateur ou être victime d’un piratage. Il faudra démontrer les mesures mises en place pour limiter la violation des données personnelles. Il faudra aussi informer la personne concernée par le vol de ces données. RGPD Règlement général sur la protection des données
- 5. Que dit la loi ? La loi indique les traitements interdits, par principe le reste est autorisé. Le traitement des données sensibles est interdit, sauf personnes autorisées comme le personnel médical, dans certains cas les données sensibles peuvent être traités avec le consentement des personnes. Pour la prospection commerciale, envoyer de la pub par mail ne peut être fait qu’avec le consentement des prospects. Sauf dans le cas d’échanges commerciaux contractuels passés pour des produits ou services analogues. Les grands principes : • Collecter des données de façon loyale, licite. • Les objectifs de la collecte de cette donnée doivent être définis clairement à la personne concernée. • Ne collecter que les données nécessaires à cette finalité (pas besoin d’avoir des infos sensibles pour envoyer une newsletter). • Un traitement de données personnelles implique une durée limitée et doit être annoncée. Un fichier de prospect peut être conservé 3 ans. Au bout de 3 ans on doit redemander le consentement des personnes. • Les données récoltées avec des cookies, adresses IP ne peuvent pas être conservés plus de 13 mois. • Les données personnelles doivent être sécurisées, mettre en place les outils nécessaires pour préserver la confidentialité (perte, piratage, revente). RGPD Règlement général sur la protection des données
- 6. Les personnes concernées Le responsable de la données ou le sous-traitant doivent être en capacité de répondre aux droits des personnes concernées. Droit à l’information, pouvoir fournir à la personne concernée les données collectées. Droit à l‘accès, à la rectification, droit d’opposition ou effacement des données.(notamment à la prospection commerciale, comme se désinscrire d’une newsletter). Droit de faire transférer ses données à un autre prestataire. (Exporter une mailing-list, pour changer de service) RGPD Règlement général sur la protection des données
- 7. Les obligations Privacy by design, le respect de la vie privée dès la conception. Le concept de “Privacy by Design” a pour objectif de garantir que la protection de la vie privée soit intégrée dans les nouvelles applications technologiques et commerciales dès leur conception. Privacy by default, principe de ne traiter que les données nécessaires à ce qu’on veut faire au regard de la finalité des traitements. C’est un principe de minimisation. Le registre de traitement, (obligatoire pour les organismes au delà de 250 salariés). Tableur dans lequel il est précisé : • les catégories de données : prospects, clients, salariés… • les traitements • nommer le délégué à la protection des DP. En droit européen, le Délégué à la protection des données (abrégé DPD, ou DPO, pour Data Protection Officer) est la personne chargée de la protection des données au sein d'une organisation. RGPD Règlement général sur la protection des données
- 8. Bandeau des cookies Les internautes doivent être informés et donner leur consentement préalablement à l'insertion de traceurs. Ils doivent disposer d'une possibilité de choisir de ne pas être tracés lorsqu'ils visitent un site ou utilisent une application. Les éditeurs ont donc l'obligation de solliciter au préalable le consentement des utilisateurs. Ce consentement est valable 13 mois maximum. Exemple : l’utilisation de Google analytics sur son site, objets facebook… Une grande partie des entreprises ne respectent pas à 100% la loi sur cette question. Schématiquement, on exige 3 éléments : Expliquer aux internautes la finalité du dépôt : à quoi sert le cookie ? Mesures d'audience, publicités ciblées... ? Permettre aux internautes de s'opposer au dépôt : il est impossible pour les utilisateurs de "subir" et de ne pas pouvoir refuser le traitement de données. Obtenir l' "accord" des internautes : le consentement est présumé si l'utilisateur poursuit sa navigation. Les sites web ne réalisent en général pleinement que la première situation. En clair, le "bandeau cookie" informe seulement qu'un ou plusieurs cookies sont déposés, souvent de manière évasive. Et que l'on effectue ou pas une action, le cookie s'inscrit sur le terminal, sans consentement préalable donc. RGPD Règlement général sur la protection des données
- 9. Dans wordpress Plugin de consentement cookies, à personnaliser. RGPD Règlement général sur la protection des données La page Politique de confidentialité créée automatiquement qui est à compléter en fonction des options du site (Google analytics, newsletter, formulaire, commentaires, e-commerce….). Dans Réglages/confidentialité. Outils exporter les données, qui compile toutes les données conservées associées à un utilisateur et permet de les télécharger et de les supprimer. Cookies consent GDPR Cookie Consent GDPR Cookie Compliance