RGPD : le casse-tête du problème des données personnelles

Le RGPD est là et personne ne sait vraiment comment l'appliquer.

Malgré tous les avocats qui prétendent y comprendre quelque chose ou les faux certificats, personne ne sait vraiment QUAND s'appliquent les dispositions du RGPD notamment en ce qui concerne la définition des données personnelles.

Qu'est-ce qu'une donnée personnelle ?

C'est tout éléments permettant d'identifier une personne.

Sur https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre1, la CNIl (gendarme du RGPD), indique qu'il s'agit de toute information se rapportant à une personne physique identifiée ou identifiable  ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale;

Il résulte de ce qui précède (et c'est indiqué sur d'autres pages de la CNIL) qu'une adresse IP, un pseudo twitter, etc.. SONT des données personnelles.

Or dès qu'un chouilla d'internaute confie un bout de donnée personnelle, il doit être averti de ses droits, à savoir:

• Droit d’accès et rectification des informations
• Droit d’obtenir les données dans un format structuré, couramment utilisé et lisible par une machine
• Droit de transférer les données directement auprès d’un nouveau responsable du traitement
• Droit d’opposition à tout moment, au traitement de ses données y compris pour le profilage

DONC DES QU'UN INTERNAUTE arrive sur une page (car les internautes doivent être avertis de ces droits « au  plus  tard  au  moment  de  la  première  communication  avec  la personne concernée ») , et que son adresse IP est captée par Google Analytics ou autre système, et par l'hébergeur qui forcément a les logs ALORS le site doit expliquer à l'internaute ses droits.

Vous imaginez le mega popup ou bandeau indiquant à l'internaute qu'il a donné son IP et que ci et que ça et que s'il veut accéder à ses données ou les modifier ou les supprimer il doit aller à tel endroit ou faire ainsi..

Par ailleurs, le RGPD implique que les "partenaires" soient eux aussi impliqués.

Les contrats avec les sous-traitants doivent mentionner la réalité des dispositions de l’article 28 du RGPD (article spécifique aux sous-traitants) avec notamment :

• l’objet et la durée de la prestation effectuée pour le compte du client
• le type de données à caractère personnel que vous traitez pour le compte de votre client
• les catégories de personnes concernées
• vos obligations et vos droits en tant que responsable de traitement
• l’engagement du sous-traitant de signaler immédiatement toute fuite de données.

DONC l'hébergeur du site est concerné

Les prestataires de statistiques et de sécurité de l'hébergeur, qui eux aussi ont accès à ces adresses IP, sont aussi concernés..

Et donc au minimum, vous devez changer vos contrats avec ces "sous-traitants", sans parler des cas où vous assez un cdn ou un plugin wordpress comme Jetpack ou autre..

Si jamais le RGPD est appliqué à la lettre, c'est comme ça que ça doit se passer .. 

Ah oui, si vous avez la bonne idée d'avoir une page Facebook ou un compte Twitter, les pseudos des gens qui viennent sur votre page sont des données personnelles .. Renégociez aussi votre contrat avec Facebook, Twitter, avertissez les gens qui viennent vous parler ou qui viennent vous poser une question..

On va se marrer .. non ? (Ceci dit, la CNIl avec ses 200 personnes -contre 600 ailleurs- et les associations de consommateurs avec leurs 30% de subventions de moins depuis 2017 ne vont pas pouvoir faire grand chose en cas de non respect du RGPD)

Voir aussi:

RGPD: techniquement il faut faire quoi ?

SRI et RGPD vont-elles plomber l'économie Internet ?

Comment le RGPD va enrichir Google :-)