RGPD : l'indispensable politique de confidentialité

Avant l'entrée en vigueur du RGPD, lorsqu'un site internet collectait des données il devait faire une déclaration préalable auprès de la CNIL. Désormais, les déclarations auprès de la CNIL n'existent plus. En contrepartie, la responsabilité pesant sur le responsable de traitement est plus grande et il conviendra de se montrer vigilant.

Dès lors, tout site web collectant des données doit se munir d'une politique de confidentialité et la mettre à disposition des internautes.

Le droit antérieur : les déclarations auprès de la CNIL

Les sites web dispensés de formalité déclarative

Certaines catégories de sites internet ont purement et simplement été dispensées de toute déclaration auprès de la CNIL :

• Les sites personnels ou blogs : une délibération de la CNIL n°2005-284 du 22 novembre 2005 a décidé de la « dispense de déclaration des sites web diffusant ou collectant des données à caractère personnel mis en œuvre par des particuliers dans le cadre d'une activité exclusivement personnelle ». Par une interprétation a contrario de cette délibération, il est possible de déduire que la diffusion et la collecte de données à caractère personnel opérée à partir d'un site web dans le cadre d'activités professionnelles, politiques, ou associatives demeurent soumises à l'accomplissement des formalités préalables prévues par la loi.
• Les sites vitrines : Par une délibération n°2006-138 du 9 mai 2006, la CNIL a décidé que seraient dispensés de déclaration les traitements constitués à des fins d'information ou de communication externe. Ainsi, bénéficient de cette dispense les sites des organismes publics ou privés collectant ou diffusant des données personnelles dans un but de communication ou d'information, dits les sites vitrines. Cette dispense est toutefois subordonnée à l'accomplissement d'un certain nombre de conditions.
• Les sites des associations : en vertu de la délibération n°2006-130 du 9 mai 2006, sont dispensés de déclaration les traitements relatifs à la gestion des membres et donateurs des associations à but non lucratif régies par la loi du 1er juillet 1901. Ainsi, les fichiers de membres et donateurs d'associations sont dispensés de déclaration. Cette dispense est subordonnée au respect de plusieurs conditions. Toutefois, elle ne s'applique pas aux traitements mis en œuvre par une association ou tout autre organisme à but non lucratif, à caractère religieux, philosophique, politique ou syndical

Les sites soumis à une déclaration simplifiée

Les sites commerciaux de vente de biens ou de services : La norme simplifiée n°48, résultant de la délibération n°2005-112 du 7 juin 2005 simplifiant la déclaration des fichiers de clients et de prospects, a été étendue à internet. Ainsi, les sites web collectant des données auprès de clients et prospects peuvent faire l'objet d'une déclaration simplifiée.

Explications de la norme simplifiée NS-48

La norme simplifiée 48 (qui remplaçait les normes 11, 17 et 25) concernait les traitements qui avaient pour objet la gestion, au sein d'un organisme public ou privé, des fichiers de clients et/ou de prospects. Cette norme ne pouvait pas être utilisée par les professionnels des secteurs d’activité suivants : santé, éducation, banque, et assurance.

Elle s’appliquait aux traitements permettant les opérations relatives à la gestion des clients (contrats, commandes, livraisons, factures, comptes clients et comptes fidélité), à la prospection (constitution et gestion d’un fichier de prospects), à la cession, la location ou l’échange du fichier clients et de prospects, à l’élaboration de statistiques commerciales et à l’envoi de sollicitations. Les données enregistrées étaient relatives à l’identité du client, aux moyens de paiement utilisés, à sa situation familiale, économique et financière, à la relation commerciale et aux règlements des factures. La collecte du numéro de sécurité sociale (ou NIR) était en revanche exclue.

Les données pouvaient être transférées hors de l’union européenne sous certaines conditions. Les données clients ne pouvaient être conservées au-delà de la relation commerciale (sauf en cas de nécessité d’établir la preuve d’un droit ou d’un contrat qui peuvent être archivées conformément aux dispositions du Code de commerce, en l’occurrence 10 ans).

Les données prospects n'étaient conservées que pour la durée nécessaire à la réalisation des opérations de prospection (durée préconisée : 1 an maximum après le dernier contact ou sans réponse après deux sollicitations successives). Les personnes concernées étaient informées, lors de la collecte des informations, des droits d’accès, de rectification ou d’opposition qui leur sont reconnus par la loi du 6 janvier 1978 dite Informatique et Libertés.

Le droit actuel : la politique de confidentialité

Les déclarations auprès de la CNIL n'existent plus depuis l'entrée en vigueur du RGPD. En contrepartie, la responsabilité pesant sur le responsable de traitement s'en trouve accrue.

Dès lors, tout site web collectant des données doit se munir d'une politique de confidentialité et la mettre à disposition des internautes, le plus souvent par le biais d'un lien situé dans le footer de la page (le bas de page). Avant d'opérer à la collecte des données, les utilisateurs devront accepter cette politique de confidentialité. Dans la pratique, cela se matérialise par une case à cocher.

La collecte des données

La politique de confidentialité vise à informer les internautes concernant les données que vous collectez. Dès lors, devront être énumérées les données collectées. Il s'agit le plus fréquemment de données telles que : nom et prénom, numéro de téléphone, adresse e-mail, adresse postale, etc.

Vous devrez également informer les internautes de la finalité de cette collecte, le but poursuivi. Il peut s'agir par exemple de l'envoi d'une newsletter, ou encore de la mise à disposition d'un espace personnel pour l'internaute.

Il est indispensable d'indiquer la durée de cette conservation, à savoir qu'elle ne doit pas être excessive au regard des données collectées et que certaines informations doivent être conservées parfois jusqu'à 10 ans. Une étude des données collectées est donc nécessaire pour fixer une durée de stockage raisonnable.

Enfin, il conviendra d'informer l'internaute sur les conditions de stockage de ses données. L'idée étant qu'il faut stocker les données à caractère personnel dans un environnement sécurisé. Certaines données à caractère personnel, dites sensibles, n'ont pas le droit d'être collectées sauf exception. Et lorsque tel est le cas, elles devront être stockées dans des conditions particulières avec des exigences de sécurité renforcées.

Les données à caractères personnel sensibles sont définies ainsi par la CNIL :

Les données sensibles forment une catégorie particulière des données personnelles.

Ce sont des informations qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. 

Le règlement européen interdit de recueillir ou d’utiliser ces données, sauf, notamment, dans les cas suivants :

• si la personne concernée a donné son consentement exprès (démarche active, explicite et de préférence écrite, qui doit être libre, spécifique, et informée) ;
• si les informations sont manifestement rendues publiques par la personne concernée ;
• si elles sont nécessaires à la sauvegarde de la vie humaine ;
• si leur utilisation est justifiée par l'intérêt public et autorisé par la CNIL ;
• si elles concernent les membres ou adhérents d'une association ou d'une organisation politique, religieuse, philosophique, politique ou syndicale. 

Les droits des internautes

La politique de confidentialité devra également avertir les internautes des droits qui sont les leurs. Le Règlement Général sur la Protection des Données (RGPD) en dresse une liste :

• Droit d'information : l'internaute doit être informé des données collectées et sur ses droits. C'est là tout l'intérêt de la politique de confidentialité.
• Droit d'opposition : l'internaute doit pouvoir s'opposer à l'utilisation de tout ou partie de ses données. Cependant, si l'internaute s'oppose au traitement de données indispensables au bon fonctionnement du service proposé, il est logique qu'il ne pourra pas bénéficier de ce service.
• Droit d'accès : l'internaute a un droit d'accès sur ses données, cela signifie qu'il peut demander l'obtention des données qu'un organisme détient sur lui et les vérifier.
• Droit de rectification : à tout moment, l'internaute peut adresser à l'organisme une demande de rectification afin de corriger les informations inexactes le concernant.
• Droit au déréférencement : l'internaute peut demander à l'éditeur d'un site internet de déréférencer le contenu relatif à sa personne afin de ne plus être visible sur les moteurs de recherches.
• Droit d'effacement : l'internaute peut à n'importe quel moment demander la suppression définitive des données le concernant.
• Droit à la portabilité : longtemps contesté, ce droit à la portabilité permet à l'internaute de demander un export de l'intégralité des données le concernant dans un format lisible. Ce droit a été longtemps contesté en raison de la difficulté pour les éditeurs de site web pour le mettre en œuvre. Des sites internet comme Facebook ou Instagram se sont mis en règle, mais il s'agit pour les petits éditeurs d'une disposition particulièrement difficile à mettre en place, et qui suppose parfois des développements qui peuvent s'avérer coûteux.
• Droit à la limitation des données : il s'agit là du droit pour l'internaute de demander à un organisme de "geler" temporairement les données que l'organisme a collecté sur lui.

Bien que cette liste ne soit pas exhaustive, elle dresse les principaux droits consacrés aux internautes.

Le transfert des données

Si les données collectées font l'objet d'un transfert à un partenaire ou à un prestataire vous devez en informer l'internaute par l'intermédiaire de la politique de confidentialité. Il est possible de transférer les données collectées hors Union Européenne ou Espace Économique Européen à condition d'assurer un niveau de protection similaire à celui imposé dans l'Union Européenne.

Identités du responsable de traitement et du délégué à la protection des données

La politique de confidentialité devra impérativement mentionner l'identité du responsable de traitement et du délégué à la protection des données (DPO) si l'organisme en possède un. L'internaute pourra ainsi contacter l'un ou l'autre en cas de réclamation concernant les données collectées.

La rédaction d'une politique de confidentialité peut vite devenir compliquée c'est pourquoi nous vous recommandons de faire appel aux services d'un avocat spécialisé en propriété intellectuelle pour la rédiger.