L’acronyme peut donner des sueurs froides… RGPD pour Règlement Général de la Protection des Données est synonyme pour beaucoup d’une règlementation un peu obscure et pourtant incontournable dès lors qu’on se lance dans le e-commerce ou le marketing digital.
Et si les propriétaires de sites web doivent absolument la respecter, il en est de même pour les sociétés de service. Ainsi, NewQuest garantit à ses clients la protection des données qui lui sont confiées. RGPD et prestataire informatique font bon ménage et pour tout vous expliquer, voici un tour complet de la question.
Petit rappel : le RGPD, c’est quoi ?
Nous n’allons pas vous prendre la tête avec la réglementation complète. Mais quand même, un petit rappel s’impose sur ce qu’est le RGPD.
Depuis 2018, le Règlement Général de la Protection des Données encadre donc le traitement des données personnelles des ressortissants de l’Union Européenne. Cela veut dire qu’il s’applique dès lors que la collecte des données concerne des européens, peu importe leur pays de résidence ou le pays d’hébergement du site web.
Si vous hébergez un site aux États-Unis mais que vous collectez des données de personnes françaises ou italiennes, vous êtes soumis au RGPD. Si vous avez un site mexicain et que vous récoltez seulement des données de personnes mexicaines, vous n’êtes pas soumis au RGPD. C’est aussi simple que ça !
Les 4 principes clefs du RGPD
Le traitement des données doit avoir une finalité établie et claire. Les entreprises doivent également collecter un minimum de données pour arriver à cette finalité. Minimiser les données est un gage de sécurité.
Les personnes doivent toujours être informées de la finalité et du critère de licité du traitement de leurs données ainsi que des droits dont elles disposent sur ces dernières. Dans le cadre d’un traitement soumis à leur consentement, elles doivent donner leur accord éclairé pour cette finalité.
Des mesures de protection des données doivent être mises en place par défaut et dès la conception d’un produit et régulièrement suivies. Les relations avec les sous-traitants doivent être empreintes de transparence et sont encadrées contractuellement au regard du RGPD. Le principe de responsabilisation prévaut dans le RGPD, il impose une documentation importante, preuve de la conformité.
Les agences digitales doivent-elles prendre en charge le RGPD ?
Nous sommes d’accords, si vous nous confiez la création de votre site web, certains aspects du RGPD vont aussi passer par nous. Cela est d’ailleurs défini dans l’article 28 du Règlement qui précise le rôle et les engagements des sous-traitants au profit de leurs clients, responsables de traitements. Nous devons notamment offrir à nos clients « des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée ».
Dans la pratique, cela implique plusieurs obligations que nous mettons en place pour chaque projet où des données sont récoltées et traitées.
Transparence et traçabilité
Pour travailler en toute transparence avec nos clients mais également garantir une traçabilité sans faille sur le traitement des données, nous établissons un DPA. Derrière ce nouvelle acronyme (pour Data Protection Addendum), un document précisant les obligations de chacune des parties au regard du règlement. Nous recensons également par écrit les instructions de nos clients car nous sommes tenus d’agir sur « sur instruction documentée du responsable de traitement ».
Ces données ainsi que toutes les informations démontrant le respect de nos obligations sont tenues à la disposition de nos clients. Ainsi, ils ont toutes les pièces en main en cas d’audit ou de contrôle de la CNIL, autorité de contrôle française.
Privacy by design et privacy by default
Les mesures de protection des données doivent être mises en place dès la conception. C’est ce qu’on appelle le « Privacy by Design ». Des mesures qui sont définies avec vous et que nous intégrons au projet tout au long de son développement. Le « Privacy by Default », quant à lui, garantit que seules sont récoltées et traitées les données nécessaires à la finalité du traitement. A ce titre, nous pouvons par exemple mettre en place des champs facultatifs ou purger automatiquement les données d’une base à l’issue d’une certaine durée.
Sécurité
Toutes les données que nous confient nos clients doivent être sécurisées. Pour cela, nos collaborateurs sont soumis à une obligation de confidentialité et signent une charte informatique liée au contrat de travail. Nous devons également signaler toute violation de données dans les plus brefs délais afin de garantir au client un signalement dans les 72 heures légales suite à l’incident. À la fin de notre prestation, nous supprimons ou renvoyons toutes les données à nos clients.
Et en termes de données, rien ne subsiste de vous dans nos locaux et dans nos bases de données.
Assistance, alerte et conseil
Enfin, nous n’hésitons pas une seule seconde à donner l’alerte et à conseiller nos clients si nous relevons une non-conformité au RGPD. Dans la mesure du possible, nous aidons également nos clients à répondre aux demandes lorsqu’une personne exerce ses droits : accès à ses données, rectifications, suppressions, etc. Nous nous mobilisons massivement face aux éventuelles violations de données, en assistant nos clients et œuvrant de concert pour faire cesser une éventuelle atteinte.
Focus sur vos cookies : de nouvelles règles depuis le 1er avril
Et pour finir cet article, nous aimerions faire un point rapide sur les cookies. Vous savez, cette autorisation que chaque site demande (ou impose !), fenêtre pop-up agaçante à l’appui. Et bien la CNIL ne vous autorisera toujours par à les supprimer, au contraire : depuis le 1er avril, elle a publié de nouvelles consignes pour leur mise en conformité.
Ainsi, tous les bandeaux cookies doivent passer d’optout à optin
Désormais l’utilisateur doit pouvoir les refuser aussi facilement que les accepter. Mais il doit aussi pouvoir revenir sur ses choix ou les configurer et son consentement doit être stocké en base. De nouvelles normes qui engendrent forcément de nouvelles difficultés, comme par exemple la perte de tracking ou lors de la mise en place des CMP.
Un problème, une question ? Parlez-en à votre chef de projet !
Si les grandes entreprises ont souvent déjà pris ces questions à bras le corps, nous sommes conscients que pour les petites ou moyennes structures, cela peut rester un peu plus obscur. Chez NewQuest, nous possédons une ressource précieuse : notre Data Protection Officer. Véritable délégué à la protection des données, il est notre expert RGPD. Il s’assure donc que nous respectons la législation en vigueur pour chacun de nos clients.
Si vous avez une question liée au RGPD lors du lancement ou en cours de projet, n’hésitez donc pas à en discuter avec votre chef de projet. Il saura vous orienter ou solliciter cette ressource interne pour vous répondre.
Ouvrez la discussion
En laissant un commentaire vous acceptez de laisser votre nom/ pseudo pour affichage sur le site et votre adresse mail pour pouvoir vous contacter à propos de votre commentaire uniquement si besoin. Vous pouvez à tout moment demander l’anonymisation de vos commentaires.