Politique de confidentialité

Dès qu'un site collecte une donnée permettant d'identifier une personne, il doit l'informer de ce traitement. L'obligation découle du règlement général sur la protection des données, applicable depuis le 25 mai 2018, et de la loi informatique et libertés.

Information

Le document indique l'identité du responsable de traitement, les finalités poursuivies, la base légale de chaque traitement, les destinataires des données, la durée de conservation, l'existence de transferts hors de l'Union européenne et les garanties qui les encadrent, ainsi que les droits des personnes et les modalités de leur exercice. L'information doit être donnée au moment de la collecte, en termes clairs.

Bases légales

Un traitement repose sur l'une des six bases prévues : le consentement, l'exécution d'un contrat, une obligation légale, la sauvegarde des intérêts vitaux, une mission d'intérêt public ou l'intérêt légitime du responsable. Le choix n'est pas libre : la publicité ciblée relève du consentement, la facturation d'une obligation légale, la sécurité du site souvent de l'intérêt légitime. Une base mal choisie fragilise l'ensemble du traitement.

Droits des personnes

Accès, rectification, effacement, limitation, portabilité, opposition, et directives sur le sort des données après la mort. Le responsable répond dans un délai d'un mois, prolongeable de 2 mois pour les demandes complexes. Le refus doit être motivé et mentionner la possibilité de saisir la Commission nationale de l'informatique et des libertés.

Registre et analyse d'impact

Le registre des activités de traitement est obligatoire pour presque tous les organismes ; l'exemption prévue pour ceux de moins de 250 salariés est si étroite qu'elle ne s'applique presque jamais. Une analyse d'impact s'impose lorsque le traitement est susceptible d'engendrer un risque élevé, notamment en cas de surveillance systématique ou de traitement à grande échelle de données sensibles.

Violation de données

Toute violation doit être notifiée à l'autorité de contrôle dans les 72 heures lorsqu'elle présente un risque pour les personnes, et communiquée aux personnes concernées lorsque ce risque est élevé. Le délai court à partir de la prise de connaissance, non de la survenue, ce qui rend la détection aussi importante que la protection.