Avoir des formulaires conformes au RGPD

Pour être en conformité avec le RGPD (sachant que plein d'entreprises s'en f.. pariant sur l'absence de contrôle ..car la CNIL a 200 personnes pour contrôler et la DGCCRF a été décapitée par le pouvoir actuel), il faut au minimum recenser vos collectes de données personnelles, lister les types de données que vous avez (ainsi que les "endroits" où vous les garder en sécurisant ceux-ci), faire promettre à vos sous-traitants qu'ils sont bien conformes au RGPD (Tiens, avez-vous reçu un mail ou une lettre de votre hébergeur vous garantissant ceci et vous indiquant, comme le veut la loi, quels sous-traitants il utilise LUI ? Si vous avez reçu de l'info, partagez le dans les commentaires parce qu'il semble que les hébergeurs s'abstiennent de toute action ..).

Ensuite, il faut au minimum informer vos "déjà présents dans vos bases" en leur demandant s'il veulent y rester et il faut mettre en place un système pour que les gens qui sont dans vos bases puissent le savoir, modifier ou effacer leurs infos et en avoir la "portabilité" (ce qui revient concrètement, il faut bien le comprendre, à fournir à vos clients leur historique, sous forme lisible, afin qu'ils aillent voir VOS concurrents en demandant s'ils peuvent mieux faire que vous :-)))

Et puis surtout, il faut mettre à niveau vos formulaires pour qu'ils soient "RGPD" !

Et bien qu'Internet regorge de blabla sur le RGPD, des infos concrètes sur comment il faut adapter les formulaires, ça manque non ?

Voici donc quelques trucs bien concrets sur le sujet "formulaires et RGPD".

1) La personne qui remplit un formulaire ou "donne ses données" doit être consentante

C'est l'objet de l'article 6 du RGPD.

Concrètement, de manière COMPREHENSIBLE pour le plus neuneu des internautes, il doit y avoir une case à cocher pour qu'il accepte (et donc un texte explicite et FACILE à comprendre) que les données qu'il fournit dans LE formulaire considéré soient collectées, gardées, utilisées.

En résumé ça donne:

"Je suis d'accord pour que les informations que j'ai saisies dans ce formulaire soient conservées et utilisées pour XXX" avec XX = la finalité EXACTE de la collecte qui vient d'être faite

Donc à CHAQUE formulaire son TEXTE de consentement.

Au passage, le RGPD indique bien que vous ne devez récupérer QUE les données nécessaires à votre "business" . Qui et comment cela sera-t-il vérifié ? Mystère et boule de gomme.. Par exemple, vous n'avez pas besoin de Mr/Mme en général donc en théorie, c'est à supprimer. Pareil pour le prénom ou le nom non si vous faites simplement une newsletter..

2) Informer l'internaute qu'il peut retirer son consentement

Au moment où il donne son consentement, vous devez aussi l'avertir qu'il peut le retirer et lui indiquer comment faire.

Concrètement, vous devez avoir une page "politique de confidentialité" où outre le blabla habituel comme quoi vous êtes gentils bien que vous lui suciez son e-sang, vous allez lui expliquer COMMENT il peut retirer son consentement sur LA collecte à laquelle il vient de consentir.

Vous pouvez choisir de traiter les demandes par mail mais ça risque d'être fastidieux donc vraisemblablement, un développement de plus dans le back-office de votre système

3) Preuve du consentement

Une fois que la personne a "consenti", vous devez en garder la preuve (cf https://www.cnil.fr/sites/default/files/atoms/files/syntheseglobale_consultation-2.pdf ) donc vous devez avoir comme info quelque part QUI a consenti à QUOI, dans QUEL BUT et à QUEL moment.

Hé oui, il ne suffit pas de garder le contenu du formulaire quelque part en back-office. Vous devez aussi avoir le moment où il a été rempli et + spécifiquement le moment où il y a eu consentement ET pour chaque formulaire, la finalité du traitement et le contenu (puisque la personne qui a consenti n'a consenti qu'à CA !)

En pratique, c'est compliqué à gérer pour les formulaires remplis par des robots ou par une personne A pour le compte d'une personne B.. On verra bien ce qui se passera quand la justice s'intéressera à ça et en attendant, n'inscrivez plus vos vieux potes ou vieilles copines sur Meetic ou à un concours en ligne ou à une cagnotte ou un évènement ..

--> Développement ou adaptation de votre back-office aussi à prévoir dans ce cas

 Au final:

• champ supplémentaire spécifique à chaque formulaire pour le consentement avec case à cocher
• texte sur les données et la finalité à côté de cette case
• texte informant celui qui vient de consentir qu'il peut arrêter de consentir
• page "politique de confidentialité avec indication de comment "déconsentir" donc peut-être un dev de back-office à faire
• dev de back-office pour avoir pour CHAQUE formulaire rempli, la preuve qu'il y a eu consentement de tartempion pour TELLE finalité.

Bien évidemment, sur Wordpress et aussi sur Prestashop et les principaux CMS, des plugins addons existent pour faciliter ceci (Par exemple la dernière version de Wordpress intègre dans le menu "Réglage" l'attribution d'une page (à faire) à propos de la "politique de confidentialité")

PS: N'oubliez pas non plus que les données doivent être sécurisées DONC que vos formulaires doivent au minimum être sur des pages https, de même que votre back-office ET que les infos concernant vos formulaires ne doivent pas de promener sur des fichiers excel, csv ou des clés usb ou chez des prestataires SANS avoir été anonymisés .. Ouais, c'est pas gagné hein ?

 Voir aussi  RGPD: que demander aux sous-traitants (modèle de lettre à leur envoyer) et que changer aux contrats ? ?