Des solutions clés en main conçues par un avocat pour faciliter votre mise en conformité RGPD !

Une donnée personnelle est une ou plusieurs information(s) concernant une personne physique (peu importe qu’il soit un professionnel), permettant de l’identifier, soit directement (photo, nom, prénom) soit indirectement (numéro de CB).

Pour une entreprise du web, les données personnelles qui sont collectées sont celles de ses clients, sous-traitants, etc).

Il s’agit aussi des données personnelles des personnes qui naviguent sur les sites clients. Pour ces données, le développeur du web a souvent la qualification RGPD de sous-traitant sur des données personnelles.

Oui. Toutes les entreprises françaises, quelle que soit leur forme ou leur statut juridique, doivent respecter le RGPD, même les TPE.

Le RGPD s’applique à toute organisation, toute personne physique et morale qui fait des traitements de données personnelles (collecte, stockage, etc) pour son compte ou pour le compte d’une autre entreprise en tant que sous-traitant, dès lors qu’elle est établie sur le territoire de l’UE, ou que son activité s’adresse ou s’intéresse à des citoyens de l’UE.

Oui. La CNIL sanctionne toutes les entreprises, petites ou grandes, et de plus en plus.

Mais elle tient évidemment compte de la taille et du chiffre d’affaires de l’entreprise lorsqu’elle réalise un contrôle et décide de prononcer des sanctions.

Le RGPD a un objectif prioritaire : placer la vie privée des individus au cœur de la réglementation. La réglementation tend à renforcer les droits des personnes

Le RGPD se veut aussi plus dissuasif en renforçant les obligations à la charge des professionnels et en augmentant les sanctions

Enfin, le règlement européen a créé un espace de protection unique des données personnelles en Union Européenne, de manière à ce que toutes les personnes résidentes en UE bénéficient du même niveau de protection.

L’étape la plus délicate pour l’entreprise est celle de la cartographie des traitements de données personnelles.

Cette étape est très importante et nécessite un travail actif de l’entreprise.
Elle consiste à recenser au sein de la structure, les différents types de traitements réalisés sur des données personnelles (concernant les clients, les prospects, les prestataires, salariés, etc). On recense alors les différents outils logiciels utilisés et on s’interroge sur leur conformité RGPD.

Une fois l’étape de cartographie terminée, il est possible d’identifier des actions de conformité concrètes, d’arbitrer qui fait quoi, et de prioriser des actions à mener, en démarrant par celles qui sont identifiées comme les plus à risque du point de vue de la protection des données personnelles (sécurité – données sensibles – transfert de données hors UE – information des personnes – recueil de consentement obligatoire – respect des droits des personnes).

Voici les 6 principaux :

Une Politique de confidentialité
Ce document permet à l’entreprise de répondre à l’obligation d’information prévue par le RGPD.
Le développeur doit parfois prévoir plusieurs politiques de confidentialité selon les personnes concernées (une pour son site internet, une pour ses clients).

Charte d’utilisation des cookies
Autre document d’information parfois nécessaire, visant les cookies et autres traceurs que les développeurs web utilisent parfois, par exemple, sur leur site internet, ou celui de leurs clients.

Contrat de sous-traitance RGPD
Ce document spécifique est obligatoire pour le développeur web, lorsque des traitements de données personnelles sont réalisés pour le compte d’un client (par exemple vous réalisez la maintenance du site d’un client car vous avez accès aux données personnelles des utilisateurs).

Contrat de partage de données personnelles
Si des données personnelles sont partagées entre 2 entreprises, par exemple dans le cadre d’un partenariat commercial, un contrat devra être mis en place. Le consentement des personnes concernées sera par ailleurs obligatoire pour ce partage de données.

Un contrat encadrant des transferts de données hors de l’Union Européenne
Ce sujet est l’un des plus brûlants actuellement sur le web, étant donné le nombre d’outils qui opèrent de potentiels transferts de données vers les Etats-Unis (Google, Microsoft, AWS, Zoom, SendInblue, etc).

Registre de traitement
Ce registre est obligatoire si l’acteur concerné réalise des traitements de données de manière non occasionnelle. Pour le développeur web, il faudra un 2ème registre pour ses activités de sous-traitant.