RGPD : implémentation administrative

Le Délégué à la Protection des Données n’est pas obligatoire. Mais il est fortement recommandé de former une personne à ce poste pour les organisations qui traitent beaucoup de données personnelles.

Vous avez également le droit de sous-traiter ou de mutualiser cette partie avec d’autres organisations.

Vous avez maintenant cartographié l’ensemble de vos traitements, c’est le moment d’examiner si l’ensemble de vos prélèvements sont utiles et légitimes.

N’oubliez pas que selon la CNIL vous devez justifier les prélèvements par le service rendu au client.

Vous avez toute la visibilité pour évaluer et planifier vos prochaines optimisations afin de limiter la collecte de données inutiles.

Vous devez également avoir une réflexion sur la sécurité des données que vous hébergez sur votre site, notamment sur les droits d’accès de votre backoffice.

Quelles sont les personnes qui ont accès ? Depuis combien de temps ? Comment se connectent-ils ? Partagez-vous des logins ? Avez-vous la visibilité des logs ? Peuvent-ils se connecter sur leur ordinateur personnel ?

Les registres de traitement et de sous-traitants regroupent l’ensemble des informations recueillies dans votre Cartographie des traitements des données personnelles.

Cette page est destinée à informer vos utilisateurs sur l’ensemble des traitements effectués sur votre site par vous et vos sous-traitants.

Pour chaque traitement, vous devez :
> Les définir avec des termes compréhensibles par tout le monde
> Préciser leur durée
> Leur localisation
> L’ensemble des données récoltées et pour quelle finalité

Vous devez afficher le nom du responsable des données ainsi qu’un moyen simple et efficace pour le contacter. L’utilisateur doit être en mesure d’exercer ses droits : droits d’accès, de rectification, d’opposition et d’effacement.

Préciser également l’ensemble des mesures de sécurité mise en place pour la protection des données.

Elle doit être rédigée avec des termes simples et compréhensibles par tout le monde et être accessible depuis vos CGU et vos mentions légales.

La page web relative à la Politique de protection des données doit figurer dans vos mentions légales : voir modèle de service-public.fr

Il est important d’afficher les coordonnées du responsable du traitement des données pour que l’utilisateur puisse exercer ses droits.

Vous devez afficher très clairement les droits de l’utilisateur et un processus clair pour l’aider à les faire respecter.

Vos conditions générales de ventes doivent également être conforme au RGPD.

• Qui est le responsable du traitement et comment le contacter.
• Indiquez la liste des traitements de votre module d’e-commerce.
• Listez l’ensemble des champs relatifs aux données personnelles et leur utilité.
• Votre activité est-elle reliée à des sous-traitants ? Si oui, indiquez le.
• Listez les mesures de sécurité mises en place.
• Indiquer la durée de conservation et le lieu où sont hébergées les données.

Vous devez être capable de lister tous les cookies qui sont associés à votre site web, y compris ceux qui sont déposés par vos sous-traitants (solutions de statistiques, boutons sociaux, vidéos provenant de plateformes tierces telles que Google, YouTube, Facebook, etc.).

> Voir l’exemple de la page des cookies de Wexample Labs.

Afficher la liste des cookies ainsi que ces principales caractéristiques :

• nom
• description
• usage
• duré de vie
• destination

Les pages web cookies et Politique de traitement des données sont souvent liées.

Normalement, vous devez permettre à vos utilisateurs d’utiliser vos services en bloquant les cookies traceurs s’ils le souhaitent. Rendez-vous sur l’article implémentation technique pour découvrir l’ensemble des fonctionnalités dédiées au RGPD sur un site web.