Cette législation historique a changé la façon dont les organisations abordent la confidentialité des données et a remis les consommateurs aux commandes, en leur donnant un plus grand contrôle sur la façon dont leurs données sont stockées et traitées.
Lorsque le GDPR est entré en vigueur le 25 mai 2018, il a signalé le plus grand bouleversement des lois sur la confidentialité des données depuis 20 ans.
La législation a été introduite pour refléter notre monde de plus en plus numérisé et reconnaître les droits des individus en ce qui concerne l'utilisation de leurs données personnelles.
Pratiquement tous les services que nous utilisons, qu'il s'agisse d'une plateforme de médias sociaux, d'un détaillant ou d'une banque, vont collecter, analyser et stocker nos données personnelles. En vertu du GDPR, les organisations sont désormais tenues de démontrer qu'elles traitent ces données de manière légale, équitable et transparente.
L'UE définit les "données à caractère personnel" comme toute information pouvant être utilisée pour identifier directement ou indirectement un individu (personne concernée). Il peut s'agir d'un nom, d'une adresse électronique, d'une adresse IP ou d'images. Elles comprennent également les données personnelles sensibles, telles que les données biométriques ou génétiques, qui peuvent être traitées pour identifier une personne.
Le traitement des données à caractère personnel est généralement interdit, sauf s'il est autorisé par la législation applicable ou si la personne concernée a consenti au traitement. Toutefois, le consentement n'est que l'un des six objectifs légitimes requis pour tout traitement de données à caractère personnel.
Consentement valide au GDPR
En vertu du GDPR, un "traitement licite" n'est possible que lorsque :
- Il y a consentement de la personne concernée
- Le traitement est nécessaire à l'exécution d'un contrat avec la personne concernée.
- Le traitement est nécessaire pour se conformer à une obligation légale
- Le traitement est nécessaire pour protéger les intérêts vitaux d'une personne concernée ou d'une autre personne.
- Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou à l'exercice de l'autorité publique dont est investi le responsable du traitement.
- Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, sauf si les intérêts, les droits ou les libertés de la personne concernée l'emportent sur ces intérêts.
Qu'est-ce que le consentement ?
Le consentement est un moyen d'établir la confiance entre un utilisateur et une organisation. Selon la définition du RGPD : "Le consentement est une indication librement donnée, spécifique, informée et non ambiguë de la volonté de la personne concernée par laquelle celle-ci, au moyen d'une déclaration ou d'une action positive claire, marque son accord pour le traitement des données la concernant."
Le consentement est défini comme étant assez étroit du point de vue du GDPR. Par exemple, si un utilisateur donne son consentement pour que ses données soient utilisées aux fins de la détection d'une cyberfraude et que ses données sont ensuite utilisées à des fins de marketing à son insu et sans son choix, il s'agit d'une violation de la vie privée de la personne concernée.
Les formulaires de consentement ne peuvent pas non plus être intégrés dans des accords de longue durée sur les conditions de service. Pour garantir la transparence, les formulaires de consentement doivent être distincts, spécifiques et explicites par nature.
Qu'est-ce qui rend le consentement valide ?
Lorsque le consentement est requis pour traiter des données à caractère personnel, les conditions suivantes doivent être remplies pour que ce consentement soit valable :
1. Le consentement doit être donné librement
Pour que le consentement soit donné librement, la personne doit être en mesure de choisir si elle souhaite ou non que ses données soient traitées. Si la personne n'a pas le choix du traitement de ses données, le consentement n'est pas donné librement et sera considéré comme invalide. La personne doit également être en mesure de refuser le consentement sans aucune répercussion négative et avoir la possibilité de retirer son consentement à tout moment. Dans la mesure du possible, le consentement doit être dissocié des autres conditions générales.
2. Le consentement doit être spécifique
Le consentement doit être spécifique aux finalités réelles pour lesquelles les données seront utilisées. Comme le précise le GDPR : " l'obtention d'un consentement valable ne peut se faire qu'après que le responsable du traitement des données a déterminé une finalité spécifique, explicite et légitime pour l'activité de traitement envisagée. " Lorsque le traitement a plusieurs finalités, le consentement ne doit être donné que pour les finalités fondées sur le consentement.
3. Le consentement doit être éclairé
Pour que le consentement soit considéré comme valide, l'individu doit savoir :
- L'identité de l'organisation qui traite les données
- Les finalités pour lesquelles les données sont traitées
- Le type de données qui seront traitées
- La possibilité de retirer le consentement
4. Le consentement doit être sans ambiguïté
Le consentement doit être donné par un acte affirmatif clair afin que les souhaits de la personne soient clairs. La demande de consentement doit être rédigée dans un langage clair et simple, intelligible et facilement accessible. Il peut s'agir d'une déclaration écrite ou orale. Le silence, les cases pré-cochées ou l'inactivité ne constituent pas un consentement valable.
Quelles sont les règles relatives au consentement des enfants ?
Le consentement parental est généralement requis pour les moins de 16 ans, bien que les âges requis pour le consentement varient selon les pays participants de l'UE. En outre, des efforts raisonnables doivent être déployés pour vérifier l'identité de la personne qui donne son consentement au nom de l'enfant.
Le processus de consentement peut être plus strict dans le cadre du GDPR, mais il offre aux organisations la possibilité de développer des niveaux de confiance et de transparence plus importants avec leurs clients.
MetaPrivacy a été conçue pour fournir une approche des meilleures pratiques en matière de conformité à la législation sur la protection des données. Contactez-nous pour plus d'informations sur la façon dont nous pouvons aider votre organisation à améliorer sa structure de conformité.
Pour en savoir plus :
Comment le GDPR affectera le droit à l'oubli ?
Les 5 principaux mythes sur le GDPR
Cinq façons dont votre entreprise peut bénéficier du GDPR
CLAUSE DE NON-RESPONSABILITÉ : Le contenu et les opinions de ce blog sont uniquement destinés à des fins d'information. Ils ne sont pas destinés à constituer un conseil juridique ou professionnel et ne doivent pas être considérés comme un substitut à un conseil spécifique adapté à des circonstances particulières, à la loi sur la protection des données ou à toute autre législation actuelle ou future. MetaCompliance n'accepte aucune responsabilité pour toute erreur, omission ou déclaration trompeuse, ou pour toute perte qui pourrait résulter de la confiance accordée aux documents contenus dans ce blog.
