Quelles sont vos obligations face au RGPD ?

RGPD, késako ? Comprenez « Règlement Général sur la Protection des Données » (en anglais « General Data Protection Regulation » ou GDPR).

Depuis 2018, le RGPD encadre le traitement des données personnelles sur le territoire de l’Union européenne. Le règlement s’adapte pour suivre les évolutions du numérique et le développement du commerce en ligne. Vos obligations en tant que détenteur d’un site internet évoluent.

De plus, le RGPD s’inscrit dans la continuité de la Loi française Informatique et Libertés de 1978 et renforce le contrôle par les citoyens de l’utilisation qui peut être faite des données les concernant. Les règles en Europe sont harmonisées et permettent aux professionnels de développer leurs activités numériques au sein de l’Union Européenne en se fondant sur la confiance des utilisateurs. Alors voyons quelles sont vos obligations face au RGPD ?

Le RGPD, c’est protéger les données de vos visiteurs

Le RGPD impose une information concise, transparente, compréhensible et aisément accessible des personnes qui consultent votre site. Il s’applique à tous les sites internet vitrines et marchands, ayant des visiteurs membres de l’Union Européenne.

La transparence permet à vos visiteurs de :

• connaître la raison de la collecte des différentes données les concernant
• comprendre le traitement qui sera fait de leurs données
• assurer la maîtrise de leurs données, en facilitant l’exercice de leurs droits

De plus, le RGPD s’applique à toute organisation, publique et privée, qui traite des données personnelles pour son compte ou non, à partir du moment où :

• elle est installée sur le territoire de l’Union européenne
•  ou que son activité cible directement des résidents européens

Par exemple, une entreprise établie en France, qui exporte la totalité de ses produits en Turquie pour ses clients moyen-orientaux doit respecter le RGPD. C’est également le cas, d’une société établie en Chine, proposant un site de e-commerce en français livrant des produits en France.

Le RGPD concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres organismes. Ainsi, si vous traitez ou collectez des données pour le compte d’une autre entité (entreprise, collectivité, association), vous devez garantir la protection des données personnelles qui vous sont confiées.

Sachez qu’il existe plusieurs extensions WordPress, telle que Complianz ou Axeptio qui vous aident à configurer votre site et ainsi être en conformités face à vos obligations.

1- Qu’est-ce qu’une donnée personnelle ?

2- Ne négligez pas vos mentions légales

Quelles sont vos obligations en tant que propriétaire d’un site web ?

• Vous devez obtenir un consentement clair et explicite des utilisateurs avant de collecter et de traiter leurs données personnelles. Cela peut être fait au moyen de cases à cocher ou d’autres procédures d’opt-in sur votre site.
• Vous devez informer les utilisateurs de la manière dont leurs données sont collectées, traitées et utilisées. Cela doit être présenté de manière claire et compréhensible dans Politique de confidentialité. Cette doit être facilement accessible depuis votre pied de page.
• Vous devez respecter les droits des individus en ce qui concerne leurs données personnelles. Cela inclut le droit d’accès aux données, le droit de rectification, le droit à l’effacement, le droit à la portabilité des données, le droit de s’opposer au traitement, et le droit de ne pas faire l’objet de décisions automatisées.
• Vous devez mettre en place des mesures de sécurité appropriées pour protéger les données personnelles que vous collectez et traitez.
• Si vous découvrez une violation de données, vous devez la signaler aux autorités de protection des données compétentes et, dans certains cas, aux personnes concernées, dans les 72 heures suivant la découverte de la violation.
• Si vous utilisez des cookies ou d’autres technologies de suivi en ligne sur votre site web, vous devez informer les utilisateurs de leur utilisation, obtenir leur consentement lorsque nécessaire, et leur donner la possibilité de les gérer.
• Si vous transférez des données en dehors de l’Union européenne, vous devez vous conformer aux règles sur les transferts internationaux, en vous assurant que le pays de destination offre un niveau de protection adéquat.

Le RGPD évolue au fil du temps. Vous devez donc être attentif aux dernières mises à jour en consultant régulièrement le site de la CNIL.

Que devez-vous indiquer dans vos mentions légales ?

Tous les sites professionnels doivent mentionner les informations obligatoires citées ci-dessous sur leur site.

Les personnes physiques (auto-entrepreneur, une entreprise individuelle, une EIRL, etc.) ont l’obligation d’afficher les informations suivantes :

• Nom et prénom du propriétaire du site
• Email
• Téléphone
• Adresse postale du domicile
• Coordonnés de l’hébergeur de votre site web c’est-à-dire son nom, sa dénomination ou raison sociale, son adresse et son téléphone

En outre, les personnes morales (SAS, SARL, SA, EURL, etc.) doivent faire apparaître les informations suivantes dans leurs mentions légales :

• La dénomination ou raison sociale
• L’adresse du siège social
• Le nom du directeur / codirecteur de la publication et, le cas échéant, nom du responsable de la rédaction
• Un numéro de téléphone
• Une adresse email de contact
• Le montant du capital social
• Les coordonnées de l’hébergeur du site

A cela s’ajoutent des mentions qui dépendent de la nature de votre activité :

• les activités de nature commerciale doivent préciser le numéro d’inscription au registre du commerce et des sociétés (RCS) + le numéro de TVA intracommunautaire
• les activités de nature artisanale doivent préciser leur numéro d’inscription au registre des métiers (RM)
• les professions soumises à un régime d’autorisation doivent indiquer les coordonnées (nom et adresse) de l’autorité qui a délivré l’autorisation d’exercer
• les professions réglementées (avocat, médecin, agent immobilier) ont l’obligation de rappeler les règles professionnelles relatives à leur profession. Il est aussi obligatoire de préciser le titre professionnel, le pays d’obtention du titre et le nom de l’autorité auprès de laquelle elles sont inscrites

Etude « Les Français et leur vie privée sur Internet », réalisée par Qwant, Proton, Olvid et Murena en collaboration avec Kantar

3- Le RGPD : c’est aussi une page « Politique de confidentialité »

Tout d’abord, la politique de confidentialité explique en détail le mode de collecte ainsi que la manière de traiter les données qui sont transmises par les internautes dans le cadre d’une relation commerciale. Il est ainsi primordiale de fournir une politique concrète concernant l’utilisation des données personnelles que le client fournit sur le site. Ce dernier donne son consentement explicite.

Puis, dans le cadre de la politique de confidentialité, l’internaute fournit au site ainsi qu’à ses mandataires, son consentement pour recueillir, utiliser ou communiquer certains renseignements personnels conformément à la loi relative à la protection des données.

Cela permet de renforcer la confiance mutuelle qui existe entre l’utilisateur et a société de traitement des données. En fournissant des informations concrètes, compréhensibles et facilement accessibles, le niveau de confiance des clients est renforcé. Enfin, le visiteur est assuré de la non-divulgation de ses données sensibles.

Que devez-vous indiquer dans votre politique de confidentialité ?

La page de politique de confidentialité sur votre site informe vos visiteurs la manière dont vous collectez, traitez, stockez et protégez leurs données personnelles. Voici les éléments a indiqué :

• une introduction expliquant le but de la politique de confidentialité et à qui elle s’adresse.
• le responsable du traitement des données :
  • Le nom de l’entreprise ou de l’entité responsable du traitement des données.
  • L’adresse de l’entreprise ou son siège social.
  • Les coordonnées de contact, y compris l’adresse e-mail et, si applicable, le numéro de téléphone.
• les données personnelles collectées : indiquez la liste des types de données personnelles que vous collectez (par exemple, nom, adresse, adresse e-mail, numéro de téléphone, etc.).
• buts du traitement : les finalités pour lesquelles vous collectez et traitez les données personnelles, y compris la base légale du traitement.
• consentement : si le consentement est la base légale du traitement, expliquez comment les utilisateurs peuvent donner leur consentement et comment ils peuvent le retirer.
• collecte automatique de données : si vous utilisez des cookies ou des technologies de suivi en ligne, expliquez comment et pourquoi ces données sont collectées, y compris les fins publicitaires, analytiques, etc.
• partage des données : les tiers avec lesquels vous partagez les données personnelles (le cas échéant) et les raisons de ce partage.
• les mesures de sécurité mises en place pour protéger les données personnelles.
• la période pendant laquelle les données personnelles seront conservées.
• informez les utilisateurs de leurs droits en vertu du RGPD, notamment le droit d’accès, de rectification, d’effacement, de portabilité, d’opposition et de ne pas faire l’objet de décisions automatisées.
• Indiquez une adresse mail pour vous contacter en cas de questions ou de préoccupations au sujet des données personnelles.
• indiquez que la politique de confidentialité peut être mise à jour et indiquez la date de la dernière mise à jour.

Votre politique de confidentialité doit être rédigée de manière claire et compréhensible pour les utilisateurs. Elle doit également être conforme à la législation applicable, notamment le RGPD si vous traitez des données personnelles d’individus de l’Union européenne.

4- Le bandeau d’acceptation des cookies

Le bandeau d’acceptation des cookies, également appelé « bannière de cookies », est un élément de conception fréquemment utilisé sur les sites web pour informer les visiteurs que le site collecte des cookies et autres technologies de suivi en ligne.

A son arrivée sur votre site, le visiteur doit accepter ou non l’utilisation que vous faites de ses cookies. Pour cela rien de plus simple, vous pouvez configurer le bandeau d’acceptation des cookies grâce à Complianz. Cette extension fait le boulot à votre place.

Dans de nombreuses juridictions, y compris au sein de l’Union européenne en vertu du RGPD, le consentement de l’utilisateur est nécessaire avant de collecter des cookies, en particulier ceux qui ne sont pas strictement nécessaires au fonctionnement du site. Le bandeau de cookies permet aux utilisateurs de donner leur consentement explicite ou de gérer leurs préférences en matière de cookies.

Les bannières de cookies incluent généralement des liens vers une page de gestion des préférences de cookies où les utilisateurs peuvent choisir quels types de cookies ils acceptent ou refusent. Cela permet aux utilisateurs de personnaliser leur expérience de navigation en fonction de leurs préférences.

De plus, le contenu du bandeau de cookies peut varier en fonction de la conception du site web et des exigences légales locales. Il peut contenir des informations sur l’utilisation des cookies, un lien vers la politique de confidentialité, un bouton d’acceptation des cookies et des options de gestion des préférences.

Il est important de noter que de nombreux visiteurs préfèrent une expérience en ligne transparente avec un minimum de perturbations, il est donc conseillé de concevoir des bannières de cookies simples, claires et conviviales.

5- Les peines encourues en cas de non-conformité

Affichez obligatoirement de manière lisible vos mentions légales et votre politique de confidentialité sur votre site. Inutile de faire un copier/coller à l’identique d’un autre site. En effet, les mentiones légales et la politique de confidentialités doivent être personnalisées en fonction de votre activité et des données que vous récoltez.

Pensez également à demander le consentement de l’internaute lorsqu’il remplit vos formulaires de contact ou d’inscritpion à une newsletter. Pour cela, vous devez obligatoirement ajouter une case à cocher avant le bouton « Envoyer ». Cette case ne doit pas être pré-cochée et doit s’accompagner de la mention : « J’ai lu et accepte la politique de confidentialité du site. J’accepte de recevoir des informations de la part du site (nom) ».

Enfin, soyez vigilant. L’absence d’une information obligatoire est punie d’une amende de 1 500 €. Tout traitement informatique non consenti des données recueillies est puni de 5 ans d’emprisonnement et de 300 000 € d’amende. Je ne veux pas vous faire peur mais soyez vigilants et ne prenez pas ce sujet à la légère.

Pour en savoir plus, rendez-vous sur le site de la CNIL car le RGPD est très très complet et ne peut pas être traité en totalité dans cet article.

Vos obligations face au RGPD ne sont pas toujours évidentes. Alors si vous avez des questions, n’hésitez pas à me contacter.