La RGPD vue par Com3elles

Vous en avez déjà entendu parler, vous avez reçus 100 mails minimum le 25 mai … et non vous n’avez pas gagné au loto, mais une nouvelle loi vient d'entrer en vigueur. La dénommée RGPD ou Règlement Général sur la Protection des Données.

Comme d’habitude avec Com3elles nous n’aimons pas utiliser la peur pour vendre des services mais préférons la pédagogie. C’est plus long mais plus responsable selon nous. Cet article a donc une portée pédagogique et nous vous invitons à le lire attentivement pour ensuite revenir éventuellement vers nous pour prévoir la mise en conformité de vos outils de communication.

Cette "nouvelle" loi votée en 2016 est en soi une loi de bon sens, l’objectif est de mieux contrôler les données demandées par les sociétés ou associations et faire prendre conscience aux visiteurs de ce qu’ils donnent. Au vu des récents évènements avec Facebook et Cambridge Analytica cela n’est pas un mal. Le sujet de cette loi c’est la protection de la donnée personnelle.

Définition d’une donnée personnelle

Une donnée personnelle est une information qui permet d’identifier une personne physique, directement ou indirectement. Il peut s’agir :

• d’un nom,
• d’une photographie,
• d’une adresse IP,
• d’un numéro de téléphone,
• d’une adresse postale,
• d’un mail,
• etc.

Certaines données sont plus sensibles, car elles touchent à des informations qui peuvent donner lieu à de la discrimination ou des préjugés :

• une opinion politique,
• une sensibilité religieuse,
• un engagement syndical,
• une appartenance ethnique,
• une orientation sexuelle,
• une situation médicale
• ou des idées philosophiques sont des données sensibles.

Elles ont un cadre particulier, qui interdit toute collecte préalable sans consentement écrit, clair et explicite, et pour des cas précis, validés par la CNIL et dont l’intérêt public est avéré.

C’est sur ce point que tout le travail de mise en conformité est important : la justification des données collectées.

Les droits de l’utilisateur

En partant de cette base, il est important de bien comprendre les nouveaux droits des utilisateurs :

• le consentement doit être avéré (papier ou validation de formulaire) et ne peut être automatique. En clair tout bouton d’option doit être forcément décoché par défaut !
• Le droit à l’oubli. Tout utilisateur doit pouvoir trouver une procédure simple (sur votre site ou sous forme papier) pour demander la destruction de toutes ses données personnelles ainsi que les échanges liés (email, courrier)
• Le droit d’information. En cas de piratage l’utilisateur doit être mis au courant automatiquement et rapidement.

Les devoirs de responsables de société ou association

Pour les sociétés et les associations il est important de mettre en place toute une série d’actions :

• Mise en conformité des formulaires de site web
• Mise en conformité des mentions légales
• Ajout de bandeau cookie permettant de gérer les échanges
• Mise en conformité des listes de newsletter et e-mailing
• Mise en conformité des échanges numériques (email, crm etc..) et physiques (dossiers, courriers, etc..)
• Mise en place d’une procédure de droit à l’oubli

La taille de la structure, son secteur d’activité ou son caractère public ou privé, professionnel ou amateur n’entre pas en ligne de compte.

Pour la gestion des données il est important de comprendre 2 notions :

• La qualification de la donnée, c’est à dire qu’une donnée demandée doit être justifiée ou justifiable. Vous n’avez plus le droit de demander l’âge de quelqu’un, ou son statut marital sauf si vous en justifiez l’utilisation.
• Le temps de conservation des données. Vous devez maintenant expressément spécifier le temps pendant lequel vous allez garder un contact, un échange email, un saisie dans un formulaire etc.. Et donc mettre en place un système qui permettra d'automatiser cela.

Donc si vous avez bien lu cet article vous aurez bien sûr compris qu’il n’y a pas de solution miracle à installer sur vos sites et que cette loi va plus loin car elle comprend tous vos outils de prospection (emails, crm, erp etc). En soi ce n’est qu’une loi de bon sens qui permet de remettre l’utilisateur dans la boucle lors de la collecte de données, ce qui rappelons-le est un enjeu majeur des années à venir.

Ce que l’on risque

Si l’on parle de ce qui fait peur maintenant, si vous ne respectez pas cette règlementation, vous risquez :

• une sanction pénale
• une amende de 4% du chiffre d’affaire global (pour tout nos clients internationaux … à mince on n’en a pas encore)

Maintenant, que faut il faire et quand le faire ?

Surtout ne foncez pas tête baissée sur le premier "spécialiste RGPD" autoproclamé (ça pullule ces temps-ci), comme toute nouvelle loi avec sanction il va y avoir des petits malins pour vous vendre plein de choses sur fond d’annonces anxiogènes ...

• Soit vous avez du budget et des données très importantes et là trouvez un spécialiste qui vous fera un audit et une série de recommandations.
• Soit vous n’avez pas le budget et il va falloir le faire au fur et à mesure.

Sachez que cette année 2018 sera essentiellement préventive. Si la CNIL vous contrôle, elle vous fera une série de recommandations à réaliser dans un temps donné.

Le plus important à notre sens est de pouvoir prouver que vous avez commencé !

Com3elles est bien sûr là pour vous conseiller et vous proposer des actions :

• Mise en conformité de vos site (formulaire et cookie)
• Mise en conformité de vos newsletters (mise en place des relances et nettoyage des listes)
• Mise en conformité pour les réseaux sociaux et les outils analytics
• Vous mettre en relation avec un spécialiste RGPD pour tous les autres outils

Contactez-nous