Le règlement général sur la protection des données ou RGPD remplace l'ensemble de la législation sur les données nominatives issue de la loi de 1978.
Le RGPD, c’est avant tout une démarche à suivre.
Voici les quelques axes principaux :
être responsable de son traitement de données, des objectifs et des moyens que celui-ci implique ;
faire la liste des traitements de données ;
trier les données et identifier les risques ;
respecter les droits des personnes ;
sécuriser les données ;
tout documenter.
Suis-je concerné ?
L’utilisation digitale du marketing pose à chaque fois la question des données personnelles. C’est le cas des statistiques ou du profilage des internautes.
Sans revenir en détail sur l'intégralité de cette règle, il convient de comprendre son fonctionnement et son impact pour la création et l'utilisation de supports marketing ou de communication.
La RDGP et l’accountability
Contrairement aux dispositions précédentes, le règlement général sur la protection des données supprime les obligations de déclaration préalable et met en responsabilité chaque annonceur.
Le cadre de l'application du RGPD n'est plus déclaratif, mais il vous appartient de rapporter la preuve de la conformité de la gestion des données personnelles et de la sécurité de celles-ci. En cas de contrôle des autorités, il vous faudra justifier de ces points de façon documentée.
C’est ce que la CNIL appelle l’accountability.
Selon elle, c’est « l’obligation pour les entreprises de mettre en œuvre des mécanismes et des procédures internes permettant de démontrer le respect des règles relatives à la protection des données. »
Quels sont ces mécanismes et procédures ?
Vous pourrez alors trouver dans la loi, qu’il « est impératif de désigner un pilote et d'assurer :
la cartographie des traitements de données personnelles
les actions correctives à mener en fonction de l'issue de l'établissement de la cartographie
la gestion des risques
les processus permettant d'assurer la sécurité les droits et libertés des personnes concernées
la définition du risque
et documenter l'ensemble des mesures de mise en conformité au RGPD que vous avez effectuées. »
Articles 24 et 30 règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, modifiés par Rectificatif au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) JOUE L127 2 du 23/05/2018)
Cela peut vous paraître contraignant, mais c’est l’occasion d’une vérification générale.
Par où commencer ?
Pour vous aider dans cette démarche, la CNIL fournit les supports et un logiciel gratuit (PIA) pour analyser votre projet. Consultez le site de la CNIL sur le RGPD.
Découvrez la notion de "Privacy by design"
Le règlement prévoit que, dès la conception d'un produit, d'une image, d'une communication, vous vous posiez la question des données personnelles et de leur utilisation.
Dès la conception, vous devez donc réfléchir et documenter tout ce qui concerne ces données. Vous devez ainsi prendre en compte l’existence de données nominatives et être capable d'affirmer si des données personnelles sont utilisés. Il faut également éviter tout traitement non nécessaire. L’utilisation des données doit avoir un objectif précis, déterminé à l’avance, et s’y restreindre.
Une diffusion digitale de vos supports de communication sur des médias comme YouTube ou sur les supports de réseaux sociaux par exemple implique obligatoirement cette gestion de données nominatives. Tous ces services offrent des suivis et du ciblage clientèle.
Vous devez envisager cet aspect et donc soit vous réunir au sein de votre entreprise, soit avec votre prestataire pour définir, avant création, toutes les implications de données personnelles.
Il vous faudra notamment justifier du fait que :
ces données sont indispensables ;
elles sont sécurisées ;
il n’y a pas de profilage non justifié.
Et le tout devra être documenté.
En résumé
Le RGPD est à la fois une nouveauté et une continuité de la loi de 1978.
Vous passez d'un régime de déclaration préalable à celui d'une mise en responsabilité.
Dès le stade du projet, c'est à vous de définir, protéger, organiser et gérer.
C'est contraignant mais votre entreprise gagnera en qualité.
Vous avez dorénavant l'ensemble des outils pour votre action marketing et de communication. Nous allons voir comment aborder la gestion et la négociation juridique de l'action marketing.
