L'impact du RGPD sur les sites web

Plus de 11000 plaintes ont été collectées par la CNIL en 2018. C’est dire que le RGPD n’est plus un objectif mais une réalité. S’il est encore l’objet de fantasmes ou interprété de manière erronée, il est temps de prendre le sujet à « bras le corps ».
Cet article va vous permettre de mieux comprendre ce qu’est le RGPD et quel impact à cette loi sur votre site Internet.

Qu’est-ce que le RGPD ?

Entré en vigueur le 25 mai 2018, l’acronyme RGPD signifie «Règlement Général sur la Protection des Données». Il permet d’encadrer le traitement et la circulation des données à caractère personnel sur le territoire européen.

Ce règlement européen qui date en réalité du 27 avril 2016 est entré en vigueur dans l’ensemble des Etats membres le 25 mai 2018. Il est directement applicable et a force obligatoire depuis cette date.

Le RGPD est né de la volonté européenne de créer un cadre juridique unifié, afin de faire face aux enjeux majeurs que représente le traitement de données personnelles

Qui est concerné ?

Le RGPD s’applique à tout organisme, quelle que soit sa taille, traitant des données personnelles pour son compte ou non, dès lors qu'il est établi sur le territoire de l'union européenne ou que son activité cible directement des résidents européens.
Le champ d’application du RGPD est donc large puisque toutes les entreprises sont en réalité concernées quel que soit leur taille ou leur effectif (entrepreneurs, associations …).

La responsabilité de la mise œuvre de la protection des données est du ressort du chef d’entreprise, ce dernier étant considéré comme le responsable du traitement c’est-à-dire la personne à qui il incombe de vérifier la conformité du traitement des données au RGPD. Il doit donc faire preuve d’une extrême vigilance quant à cette mise en conformité.

Qu’est-ce qu’une donnée personnelle ?

La notion de donnée personnelle est large puisqu’elle est définie par la CNIL comme « toute information se rapportant à une personne physique identifiée ou identifiable ».

L’identification peut se faire de manière directe (nom, prénom, adresse postale) ou de manière indirecte (éléments physiques, identifiant, adresse IP, numéro).

Par ailleurs, sont également considérées comme personnelles les données qui, par le recoupement de plusieurs informations, (date de naissance, sexe, ville, diplôme, etc.) ou l'utilisation de divers moyens techniques, permettent d'identifier une personne.

Quelles sont les obligations des entreprises ?

Selon l’article 5.1 du RGPD, les données personnelles doivent être.
1. Traitées de manière licite, loyale et transparente.
2. Collectées à des fins déterminées, explicites et légitimes.
3. Adéquates, pertinentes et limitées.
4. Exactes et tenues à jour.
5. Conservées pendant une durée raisonnable.
6. Traitées de façon à garantir leur protection.

Que faire pour se mettre en conformité RGPD ?

Les entreprises, associations et collectivités locales ont l’obligation de constituer un registre de traitement des données.
Cela consiste à identifier les activités principales de l’entreprise nécessitant la collecte et le traitement de données personnelles.

Pour chaque activité, les entreprises doivent ensuite répertorier le responsable du traitement, l’objectif poursuivi, la catégorie de données utilisées, les personnes y ayant accès et la durée de conservation desdites données.

La CNIL propose un modèle de ce registre sur son site Internet : https://www.cnil.fr/fr/RGDP-le-registre-des-activites-de-traitement.

Pour remplir ce document correctement, vous pouvez vous faire aider par un expert RGPD qui vous fera gagner du temps pour finaliser la mise en conformité.

Qu’elle est l’impact du RGPD sur un site Internet ?

Le site Internet est l’outil dans le processus de communication, identifié dans le Registre des Activités de Traitement.
Les personnes concernées sont vos visiteurs, vos utilisateurs si vous gérez des accès identifiés. Les données collectées concernant les visiteurs sont leur adresse IP, les informations collectées dans les cookies.

Pour répondre également à la loi RGPD, le site doit informer sur les modalités prises par la société pour répondre aux exigences de la loi RGPD. La politique de confidentialité est une page à rédiger à côté des mentions légales et des CGV. Le contenu de cette page est issu des informations définies dans le Registre des activités de traitement.

La notion de collecte du consentement entraîne la modification des formulaires de collecte de données pour ajouter une mention et une coche obligatoire. Un lien vers la politique de confidentialité est alors ajouté afin d’informer le visiteur.

Pour répondre au besoin de protéger les données personnelles pendant la collecte, vous devez protéger la communication entre le visiteur et votre site. Le passage en HTTPS est obligatoire, il permet au visiteur de vérifier l’identité du site web auquel il accède grâce à son certificat d’authentification.

Comment s’y prendre pour traiter ce sujet ?

En résumé, pour traiter ce sujet, je vous conseille de :
● rédiger votre Registre des Activités de traitement en traitant notamment le processus de communication au travers du site Web,
● rédiger ensuite la politique de confidentialité pour informer les visiteurs et utilisateurs en ligne,
● modifier les formulaires pour y ajouter la mention, la coche et le lien vers la politique de confidentialité,
● ajouter un pop-up d’information sur les cookies (Cookie notice),
● passer votre site en https si cela n’est pas déjà fait.

Faites de votre conformité RGPD un atout commercial

Une fois que vous aurez finalisé vos documents réglementaires et modifié votre site, vous pourrez utiliser le fruit de votre travail pour communiquer sur votre mise en conformité auprès de vos clients et prospects. Cela permettra évidemment d’augmenter la confiance de vos visiteurs et futurs clients sur la notion de protection de leurs données personnelles.

Enfin, publiez sur Facebook, LinkedIn, par mail à vos contacts sur votre action de mise ne conformité. Cela vous procurera un avantage concurrentiel.

En conclusion, modifier son site pour qu’il réponde aux exigences du RGPD n’est pas qu’un simple ajout de plugins sur les cookies ou ajouter un captcha. Vous devez au préalable faire la démarche sur tous les processus de l’entreprise et ensuite appliquer les modifications sur votre site.

Cette démarche qui est exigée est aussi un atout pour votre entreprise et la preuve de votre capacité à répondre à vos obligations réglementaires.
Elle vous évitera d’être la cible de clients mécontents qui ont ici un levier pour vous créer des soucis et être sujet à des amendes.

Vous pouvez choisir de vous faire aider par un expert RGPD afin de gagner du temps et d’effectuer sereinement cette démarche.
Dans l’est Parisien, Stéphane PARIS, membre du collectif est expert RGPD. Vous pouvez consulter son site à l’adresse https://rgpd77.fr

Les experts de cet article :

Stéphane Paris
Consultant en transition numérique
Bleu Ebène