Les raccourcis qui ne fonctionnent pas
Nous le constatons régulièrement : des entrepreneurs qui pensent qu’un montage astucieux leur permettra d’échapper au RGPD. C’est compréhensible - la loi semble être un fardeau. Mais la réalité est que l’évitement créatif coûte plus cher que la conformité honnête.
Voici les astuces les plus courantes et pourquoi elles ne fonctionnent pas.
”Je mets juste une bannière cookies”
Une bannière cookies n’est pas une solution miracle. Si la bannière n’est pas correctement configurée, si des cookies non essentiels se chargent déjà avant le consentement, ou si le choix n’est pas réellement libre (par exemple, pas de bouton de refus clair), elle n’est pas conforme. Les autorités de contrôle ne regardent pas la bannière elle-même, mais ce qui se passe techniquement.
”Je fais signer un consentement général à tout le monde”
Un consentement large et générique (“j’accepte le traitement de mes données”) ne suffit pas. Le consentement doit être spécifique par finalité, éclairé et librement donné. Vous ne pouvez pas tout regrouper dans une seule case.
”Je stocke les données sur un serveur hors de l’UE”
Le RGPD suit les données, pas le serveur. Si vous traitez des données de personnes dans l’UE, peu importe où vous les stockez. La loi s’applique.
”Je ne les appelle pas données personnelles”
Peu importe comment vous les appelez. Si les données peuvent être directement ou indirectement reliées à une personne, ce sont des données personnelles. Un numéro de client associable à un nom est une donnée personnelle. Une adresse IP est une donnée personnelle.
”Je fais faire par un sous-traitant, donc je ne suis pas responsable”
La sous-traitance est possible, mais pas le transfert de responsabilité. En tant que responsable du traitement, vous restez responsable de ce qui arrive aux données, même si vous externalisez le traitement. Vous devez conclure un contrat de sous-traitance et exercer un contrôle.
”J’ai une politique de confidentialité, donc je suis conforme”
Une politique de confidentialité est un début, mais ce n’est qu’une obligation parmi d’autres. Sans registre des traitements, sans mesures de sécurité, sans contrats de sous-traitance et sans processus pour les violations de données et les demandes d’accès, vous n’êtes pas conforme.
Ce qui fonctionne
Suivez l’intention de la loi :
- Soyez transparent sur ce que vous faites avec les données
- Ne collectez pas plus que nécessaire
- Sécurisez ce que vous avez
- Respectez les droits des personnes concernées
- Documentez vos choix
C’est moins de travail que la plupart des montages d’évitement, et ça fonctionne vraiment.
GDPRWise vous aide à remplir toutes vos obligations étape par étape. Pas de trucs, pas de détours.