Quand vous collectez des données personnelles avec votre site, que devez indiquez à l'internaute ? RGPD

Peu de gens le savent ou alors tout le monde fait semblant de l'ignorer mais la moindre collecte d'informations personnelles sur le web (via un formulaire pour un devis, une proposition d'abonnement à une newsletter ou même par une simple visite qui vous indique l'IP de l'internaute et donc vous permet de l'identifier ?  ) VOUS oblige à déclarer un certain nombre de choses !

Hé oui les amis, il va falloir REFAIRE TOUS VOS FORMULAIRES (et ne parlons pas du cas où vous utilisez un service externe pour collecter des données car là on entre dans le domaine de la sous-traitance vue par le RGPD et ce n'est pas triste..).

Donc, de par le RGPD, quand vous collectez des données, il faut INDIQUER à l'internaute de manière explicite et claire:

Si les données sont collectées directement auprès de la personne concernée (ARTICLE 13)

• identité et coordonnées du responsable du traitement
• coordonnées du DPO 
• finalités du traitement ainsi que base juridique du traitement
• éventuellement information sur les intérêts légitimes de la collecte
• destinataires ou catégories de destinataires de la collecte 
• durée de conservation (ou si imprévisible : critère de fixation de la durée)
• informations sur le droit de la personne sur ses données collectées (accès, suppression, rectification, limitation….)
• le droit d’introduire une réclamation auprès de la CNIL
• sur le caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat et sur les conséquences sur la non-fourniture des données
• sur l’existence d’une prise de décision automatisée
• si traitement ultérieur : information sur la nouvelle finalité.

Il n’est pas nécessaire de fournir les informations si la personne concernée dispose déjà de celles-ci.

Si les données n'ont pas été collectées auprès de la personne concernée (ARTICLE 14)

• informations similaires à celles prévues à l’article 13 ;
• si le responsable du traitement a l’intention d’effectuer un transfert des données à un destinataire dans un pays tiers ou à une organisation internationale et les garanties appropriées ;
• la source d’où proviennent les données (si source accessible ou non au public).

En ce qui concerne le délai pour fournir ces informations aux personnes concernées  :

- délai raisonnable après l’obtention des données à caractère personnel : maximum 1 mois

- si les données doivent être utilisées aux fins de communication avec la personne concernée : au plus tard au moment de la communication

- si les données sont destinées à un autre destinataire : au plus tard au moment la première communication.

Aucune information n’est nécessaire si : 

• la personne concernée dispose déjà de ces informations
• la fourniture de telles informations se révèle impossible ou exigerait un effort disproportionné
• la collecte est prévue par la loi ; 
• les données sont confidentielles (ex : obligation légale découlant du secret professionnel).

BON COURAGE avec le RGPD, vous allez adorer !!

Heureusement, la CNIL n'a pour l'instant que 200 collaborateurs pour vérifier l'application du RGPD (Dans les autres pays c'est 600) mais malheureusement, comme on est en France, gageons que les vérifications se feront sur la base de dénonciations de concurrents entre eux ..  Donc en premier lieu, vérifiez si vos concurrents sont conformes et méfiez-vous si l'un d'entre eux joue le premier de la classe en RGPD..