Vous dirigez une entreprise ? Vous êtes propriétaire d’un site web ou expert en traitement des données personnelles ? Il est crucial de comprendre les implications du règlement général sur la protection des données (RGPD) sur vos activités. Son entrée en application sur le territoire européen date du 25 mai 2018.
Qu’est-ce que le RGPD ?
Le RGPD encadre le traitement des données à caractère personnel au sein de l’Union européenne (UE). Il s’inscrit dans le prolongement de la loi française Informatique et Libertés du 6 janvier 1978. Il permet un meilleur contrôle par les citoyens de l’usage pouvant être fait de leurs données à caractère personnel.
Le RGPD a été instauré pour :
- Harmoniser les règles en Europe ;
- Offrir un cadre juridique identique aux professionnels. Grâce au règlement, ils peuvent développer leurs activités digitales, tout en instaurant une relation de confiance avec les utilisateurs.
Quels sont les objectifs du RGPD ?
Découvrez les trois grands objectifs du règlement général sur la protection des données :
- Accroître les droits des personnes. Le RGPD crée un droit de portabilité des données personnelles. Il intègre des dispositions spécifiques aux mineurs.
- Responsabiliser les différents acteurs en charge du traitement des données. Les responsables de traitement tout comme les sous-traitants sont concernés.
- Crédibiliser la régulation. En accentuant la coopération entre les autorités de protection des données. Elles auront notamment la possibilité d’adopter des décisions communes et de durcir les sanctions pour les traitements transnationaux.
Quels sont les acteurs tenus d’appliquer le RGPD ?
Tout organisme, peu importe son envergure, son pays d’implantation ou son activité, peut être concerné par le RGPD. Le règlement s’applique à toutes les organisations, publiques comme privées, traitant des données à caractère personnel (que ce soit pour leur compte ou non), si :
- Elles sont établies dans l’un des États membres de l’Union européenne ;
- Leur activité cible de manière directe les résidents européens.
Par exemple, une entreprise implantée en Italie exportant ses produits en Tunisie doit se conformer au RGPD. De même, une société établie au Japon disposant d’une boutique e-commerce en français, livrant des produits dans l’Hexagone, est tenue de le respecter.
Le règlement général sur la protection des données s’applique aussi aux sous-traitants : hébergeurs, intégrateurs de logiciels, agences de communication, etc. En effet, ces derniers traitent les données à caractère personnel pour le compte d’une autre entité (entreprise, collectivité locale ou association).
Bon à savoir : qui doit désigner un DPO ?
Les sociétés effectuant des traitements de données et les sous-traitants sont tenus de nommer un délégué à la protection des données (DPO) si :
- Leur activité est rattachée au secteur public ;
- Leur activité principale requiert un suivi à une fréquence régulière, systématique et à grande échelle de personnes ;
- Leur activité principale repose sur le traitement de données à caractère sensible ou liées à des condamnations de nature pénale (infractions, délits).
Le DPO est notamment chargé de conseiller la société sur la mise en place d’une analyse d’impact sur la vie privée (PIA). Elle est réalisée dans le cas où le traitement des données affiche un risque pour le droit et les libertés des personnes. L’objectif est d’évaluer l’origine, la nature, la particularité et la gravité du danger.
Qui est garant de la mise en application du RGPD ?
En France, la Commission nationale de l’informatique et des libertés (CNIL) veille à la protection des données à caractère personnel. Créée en 1978, cette autorité administrative indépendante agit au nom de l’État. Elle n’est toutefois pas placée sous l’autorité du Gouvernement ou d’un ministère.
La CNIL se compose d’un collège de 18 membres, élus ou nommés, et d’une équipe de 25 agents contractuels de l’État. Elle s’organise autour de cinq directions :
- Direction de l’accompagnement juridique (DAC) ;
- Direction de la protection des droits et des sanctions (DPDS) ;
- Direction des technologies et de l’innovation (DTI) ;
- Direction des relations avec les publics (DRP) ;
- Direction administrative et financière (DAF).
Parmi les 18 membres de la CNIL, nous retrouvons :
- Quatre parlementaires (deux députés et deux sénateurs) ;
- Deux membres du Conseil économique, social et environnemental (CESE) ;
- Six représentants des hautes juridictions (deux conseillers d’État, deux conseillers à la Cour de cassation, deux conseillers à la Cour des comptes) ;
- Cinq personnalités qualifiées ;
- Le Président de la Commission d’accès aux documents administratifs (CADA).
Bon à savoir : quelles sont les quatre missions de la CNIL ?
- Informer, protéger les droits. La CNIL répond aux demandes des particuliers et des entreprises, et s’assure du bon accès des citoyens aux données les concernant.
- Accompagner la conformité, conseiller. Elle propose une boîte à outils complète pour aider les organisations à se mettre en conformité.
- Anticiper et innover. Elle contribue aux débats éthiques (LINC) et au développement de solutions protégeant la vie privée.
- Contrôler, sanctionner. Elle s’assure de la bonne mise en œuvre du règlement. En 2022, 345 contrôles ont été effectués. Au besoin, elle peut mettre en demeure ou sanctionner.
Quels sont les 5 grands principes de la protection des données à caractère personnel ?
- La finalité. Enregistrer et utiliser des données uniquement dans un but précis, légal et légitime.
- La proportionnalité et la pertinence. Collecter des données pertinentes et strictement nécessaires.
- La limite de durée de conservation. Définir une durée de conservation et ne pas conserver indéfiniment.
- La sécurité et la confidentialité. Sécuriser les informations et limiter l’accès aux personnes autorisées.
- Les droits des personnes. Expliquer comment exercer les droits ; répondre sous un mois maximum.
Bon à savoir : quels sont les droits des personnes sur leurs données personnelles ?
- Le droit d’accéder aux données les concernant ;
- Le droit de rectification et d’opposition ;
- Le droit à la portabilité ;
- Le droit à l’oubli ;
- Le droit à notification ;
- Le droit à réparation du dommage matériel ou moral ;
- L’action de groupe.
Protection des données personnelles : 6 bonnes pratiques
Découvrez nos conseils à appliquer en entreprise pour garantir votre conformité RGPD.
Collecter seulement les données utiles pour atteindre son objectif
Il est essentiel de collecter les données dans un but bien défini et légitime. Vous n’avez pas le droit de les traiter ultérieurement dans une autre optique. Par exemple, un fichier de candidats dans le cadre d’un recrutement ne peut pas servir à diffuser des offres promotionnelles.
Pour respecter le RGPD, vous pouvez vous baser sur le principe de minimisation : limiter la collecte aux seules informations nécessaires.
Faire preuve de transparence
Les citoyens doivent pouvoir conserver le contrôle sur leurs données. Cela suppose de bien les informer en amont sur l’usage qui sera fait de leurs informations. L’information doit être :
- Cohérente par rapport aux situations et supports de collecte ;
- Accessible et compréhensible.
Il est interdit de récolter des informations à leur insu.
Faciliter l’exercice des droits des personnes
Vous avez l’obligation d’organiser les modalités permettant à vos prospects et clients d’exercer leurs droits. Ils doivent pouvoir le faire via l’envoi d’un simple e-mail à une adresse dédiée. Vous êtes tenu de répondre dans les meilleurs délais.
Établir des durées précises de conservation de la data
Il est interdit de conserver indéfiniment les données personnelles. Elles doivent être conservées uniquement le temps nécessaire pour atteindre l’objectif poursuivi. Ensuite, il convient de les détruire, de les anonymiser et/ou de les archiver, conformément aux obligations réglementaires.
Garantir la sécurité des données personnelles
Sécurité physique et informatique, sécurisation des locaux, gestion rigoureuse des habilitations et des droits d’accès… Les mesures doivent être adaptées à la sensibilité des informations et aux risques en cas d’incident.
Adopter une démarche continue de mise en conformité
Régulièrement, il est important de vérifier si :
- Les traitements n’ont pas subi d’évolutions majeures ;
- Les procédures et mesures de sécurité sont respectées ;
- Une adaptation est requise.
Emailing : comment recueillir le consentement des destinataires ?
Dans le cadre d’une campagne e-mailing, le consentement du destinataire de messages publicitaires est obtenu grâce à l’opt-in. Attention : s’il n’a pas dit « oui », cela doit être assimilé à un « non ». L’accord du prospect ou du client s’obtient par le biais d’une mention de ce type :
« [] J’accepte que mon adresse e-mail soit utilisée pour recevoir des offres de la société X par courrier électronique. »
Pour l’envoi d’e-mails notamment, pensez au double opt-in. À l’inverse de l’opt-in classique, cette méthode repose sur deux étapes :
- Le destinataire exprime son consentement ;
- Il confirme sa volonté de recevoir des messages publicitaires en cliquant sur un lien envoyé par e-mail.
Avec Dataventure, collectez des profils opt-in en utilisant différents leviers
- Clic-lead. Objectifs : visibilité, trafic et acquisition de leads. Collecte dédiée à 100 % pour un CPL contenu, sans partage d’adresses. Volume définissable en amont.
- Co-registration premium. Collecte de leads à forte valeur : page dédiée à votre marque, visuel valorisant l’offre, questions de qualification paramétrables.
- Co-registration. Idéal pour récolter des profils affinitaires à coûts maîtrisés.
- Co-sponsoring. Collecte massive et économique, avec un coût par profil très compétitif et un potentiel de centaines de milliers de profils opt-in par mois.
Dataventure monétise des supports de collecte du groupe Cardata. Chaque mois, plus de 3 millions d’adresses e-mail sont récoltées pour les plus grands annonceurs. L’agence se positionne ainsi parmi les leaders français de la collecte de profils opt-in.
Quels sont les avantages du double opt-in ?
Faire le choix du double opt-in apporte de nombreux bénéfices :
- Confirmation que l’adresse e-mail est valide ;
- Amélioration de la qualité de la liste de diffusion ;
- Conformité aux réglementations sur la protection des données ;
- Réduction du nombre de plaintes ;
- Meilleure image de marque.
Effacement des données, avertissement, mise en demeure, suspension des flux… En cas de non-conformité, vous risquez de lourdes sanctions administratives. Selon l’infraction, les amendes peuvent grimper jusqu’à 10 ou 20 millions d’euros. Pour une société, elles peuvent représenter 2 % à 4 % du chiffre d’affaires mondial annuel.
Vous désirez mettre en place des opérations de conquête sur mesure, en toute sécurité ? Faites-vous accompagner par Dataventure. Nos experts vous proposent des solutions RGPD-friendly pour répondre à vos problématiques de trafic et d’acquisition client.
