En direct : posez vos questions sur le RGPD, les nouvelles règles d'utilisation des données personnelles

Dans l'esprit de la loi : les garder pour lui, faire attention à ne pas les laisser traîner partout, les supprimer lorsque le colis est à bon port. 

Votre imagination ne vous trompe pas, chère Simone. Les principales entreprises de la Silicon Valley ont mené une campagne de lobbying inédite pour tenter d'amender ce texte en un sens qui leur était plus favorable (c'est amusant, aujourd'hui, d'entendre le patron de Facebook Mark Zuckerberg se dire très content du RGPD, mais je m'égare).

Le RGPD a d'ailleurs failli complètement capoter, faute d'accord entre les Etats membres de l'Union européenne. Il a eu quelques petits coups de pouce, comme l'affaire Snowden, en 2013 et 2014, qui a permis de relancer les discussions, mais il a surtout bénéficié de l'activisme de certains parlementaires comme Jan-Phillipp Albrecht. Il est écolo, il est allemand, et ma collègue Cécile l'a rencontré il y a peu à Bruxelles :

Je fais une pause dans les réponses pour vous recommander la lecture de quelques-uns des articles que nous avons publié récemment sur le RGPD. Notamment celui-ci, sur les margoulins qui ont tenté "l'arnaque au RGPD".

RGPD : les petits malins ont flairé le bon filon

Pour les professionnels du droit et des services informatiques, le Règlement général sur la protection des données (RGPD) offre de belles opportunités. L’appât du gain engendre des dérives.

Comme évoqué précédemment, je suis journaliste et pas avocat, aussi mes réponses sur ces cas précis doivent-elles être prises avec des pincettes.

Pour le premier cas, le RGPD (c'est une des nouveautés pour les entreprises) prévoit que les entreprises doivent s'assurer que leurs sous-traitant respectent bien le RGPD. Il est donc possible que vous soyez obligés de vérifier que votre client ne fait pas n'importe quoi.

Pour le second cas, de manière générale, le fait qu'il existe un contrat (par exemple si vous achetez un aspirateur sur un site de vente en ligne) est une base légale pour le traitement de données personnelles. Parce qu'effectivement, sans nom ni adresse, l'aspirateur ne va pas monter sur ses petites pattes et trouver son nouveau propriétaire tout seul.

Il n'existe pas de certificat de conformité au RGPD. L'idée du RGPD ce n'est pas d'avoir un petit tampon en bas d'une feuille disant que l'entreprise fait tout comme il faut ; mais plutôt de contraindre l'entreprise à s'assurer en permanence qu'elle reste dans les clous. A tout moment, elle doit pouvoir dire : "voilà les données que je possède, voilà pourquoi je possède ces données, voilà comment je les ai récupérées, voilà comment je les utilise, voilà comment je les sécurise...", ce qui signifie, si on aime les quatrièmes de couverture des romans de gare, que le 25 mai est moins la fin d'une épreuve que le début d'un long chemin.

Effectivement, vous avez dû tous et toutes recevoir une avalanche d'e-mails vous suppliant de consentir à nouveau à recevoir de très intéressantes promotions et autres offres spéciales vraiment passionnantes.

Il y a deux cas de figure :

• Soit l'entreprise a recueilli correctement votre consentement lorsqu'elle a ajouté votre e-mail à sa base de données, et le mail est parfaitement inutile.
• Soit l'entreprise n'a pas recueilli correctement votre consentement à l'époque, cela fait des mois voire des années qu'elle est en infraction et elle essaie de corriger le tir maintenant qu'elle n'a plus vraiment le choix.

Dans les deux cas, les e-mails reçus récemment pose souvent problème (si par "poser problème" on entend "être illégal") : la plupart disent que si vous ne répondez pas, vous consentez à avoir votre adresse e-mail stocké. Ça n'est pas du tout ce que prévoit le RGPD, qui réclame un vrai consentement et pas un silence poli.

Le RGPD change effectivement de logique. Avant, pour la plupart des traitements, il fallait dire à la CNIL : "Coucou, je vais récupérer deux-trois données pour X et Y raisons." Désormais, plus besoin de le faire mais il faut que les entreprises / associations / organismes puissent prouver à tout instant qu'ils sont dans les clous de la loi (qu'ils ont eu le droit de récolter les données, qu'ils ne font pas n'importe quoi avec...). Avant le RGPD, certaines données dites sensibles devaient même faire l'objet d'une autorisation de la CNIL. Avec le RGPD, la plupart des formalités sont levées, même si certaines catégories de données (dont certaines données de santé) particulièrement sensibles, sont encore soumises à autorisation.

J'aurais tendance à vous répondre un oui franc et massif, car vos utilisateurs laissent forcément des données personnelles sur votre forum, mais cela dépend. Si vous gérez tout vous-même (hébergement du forum, le code informatique etc.) c'est certain que oui. En revanche, si vous utilisez une plateforme "toute faite" par exemple, c'est surtout cette plateforme qui doit se préoccuper du RGPD. Attention, je suis journaliste, pas avocat, le mieux est sans doute de vous rapprocher d'une personne plus compétente !

Ça aurait une certaine allure, mais non. En France, par exemple, la CNIL a dit qu'elle allait laisser un peu de temps avant de prendre des sanctions. Ça n'a pas forcément l'air comme ça mais les nouvelles obligations pour les entreprises sont très contraignantes. Les esprits taquins feront remarquer que le RGPD a été adopté fin-2016, il y a plus d'un an et demi et qu'il n'y avait pas de raison de procrastiner. D'autres esprits encore plus taquins noteront qu'une très grande partie des obligations auxquelles sont soumises les entreprises avec le RGPD... Existaient déjà en droit français et européen des données personnelles !

Oui. Il n'y a pas si longtemps, elles étaient de 150 000 euros maximum. Désormais elles pourront aller jusqu'à 4 % du chiffre d'affaire mondial des entreprises fautives. Même si ce cas de figure ne s'appliquera que rarement, ça fait réfléchir n'importe quel patron.

Saperlipopette, on commence par la question la plus difficile.

Il y a deux manières d'y répondre : la première, la plus simple, est la suivante : absolument pas.

La seconde, plus nuancée et ne portant que sur la collecte des données (et pas sur leur suppression par exemple), suit. Le RGPD prévoit plusieurs critères qui peuvent autoriser une entreprise à capter vos données personnelles (votre nom, votre activité, vos photos... etc.). L'un d'entre eux est le consentement. Cela signifie que les entreprises doivent vous demander votre avis, ce que font, théoriquement, les géants du numérique comme Google ou Facebook, lorsque vous acceptez leurs fameuses "conditions d'utilisation". Le RGPD n'est donc pas fondamentalement incompatible avec la collecte d'informations.

Mais la question de savoir si ce consentement est légal n'est encore pas tout à fait tranchée.

Notamment parce qu'ils ne vous laisse pas la possibilité de refuser. Notamment parce que ces réseaux ne se contentent pas des données que vous leur soumettez volontairement : votre activité sur leur services, vos habitudes, vos goûts sont captés, déduits par la machine,  parfois partagées entre les entreprises d'un même groupe et servent à alimenter de la publicité. Consent-on vraiment à ce type de traitement de nos données ? 

Savoir si le RGPD perturbe vraiment le modèle économique des géants du numérique demande un peu de temps, notamment celui que prendront les autorités nationales de protection des données (la CNIL en France) pour se pencher en détail sur certains comportements. Les amendes prévues par le RGPD sont en tout cas très dissuasives (jusqu'à 4 % du chiffre d'affaire).

Mon collègue Vincent a fait de même pour les entreprises :

J'ai tenté de synthétiser, dans un précédent article, les principaux droits qu'amène le RGPD aux particuliers. Le voici : 

RGPD : ce qui change pour les particuliers

Le Monde.frLe Règlement général sur la protection des données personnelles, qui renforce un droit français déjà protecteur, sera applicable partout en Europe à partir du 25 mai.

Ce matin, vous avez eu l'impression que le monde autour de vous était un peu différent ? Que les gens étaient plus souriants, plus détendus ? Qu'un vent de liberté soufflait sur le vieux continent ? C'est normal, le droit européen en matière de données personnelles en Europe vient d'être chamboulé !

Plus sérieusement : dans la nuit est entré en application le règlement européen sur la protection des données (on utilisera l'acronyme, RGPD, ça ira plus vite). En deux mots, il pose de nouvelles obligations très contraignantes aux entreprises en matière de données personnelles, avec des amendes en cas d'infraction bien plus fortes que ce qui était prévu auparavant. Côté citoyens, ce sont plusieurs nouveaux droits qui sont proposés dès aujourd'hui (ça, et une boîte e-mail qui croule sous les messages d'entreprises souhaitant continuer à pouvoir vous écrire).

Vous pouvez nous poser vos questions sur ce texte ambitieux : nous y répondrons dans la mesure du possible.

Let's block ads! (Why?)

https://www.lemonde.fr/pixels/live/2018/05/25/posez-vos-questions-en-direct-sur-le-rgpd-le-nouveau-reglement-europeen-sur-les-donnees_5304641_4408996.html

Bagikan Berita Ini