Ce dossier a pour objectif de donner des pistes à suivre et une méthode pratique pour la mise en œuvre de la conformité GDPR dans les sites web. Dans un première partie de cet article les différents principes liés à la mise en conformité sont présentés; ensuite, une méthode sous forme de liste d’actions est examinée.

Commençons par les principes de base et leur implication pour les sites web.

Consentement lié au traitement des données personnelles

Toutes les données personnelles doivent être fournies librement et les inscriptions doivent être spécifiques et claires. Les utilisateurs qui ne donnent pas leur consentement ne doivent pas être discriminés. Si un refus du consentement entraîne une impossibilité de fournir un service, c’est la personne qui refuse ce traitement qui est responsable de la non fourniture du service.

Cela implique que tous les formulaires qui recueillent les données personnelles des utilisateurs (formulaires de contact, carte de vente, formulaires d’inscription, etc.) doivent avoir des champs d’entrée bien définis avec des descriptions concises. Par conséquent, les offres d’accès à des services gratuits qui forcent la capture de données personnelles pour obtenir un accès ne peuvent pas être autorisées.

Tout visiteur du site devra pouvoir être informé de l’utilisation de ses données personnelles; et ce y compris par qui et pour combien de temps. Il est donc nécessaire de clarifier ce qui est traité et pour quelles raisons, ainsi que la durée de stockage des données. De plus, il faut également indiquer clairement qui le visiteur peut contacter au sujet de ses données et au sujet de toutes les actions de traitement. Idéalement, une politique de confidentialité présentera l’ensemble de ses informations.

Finalement, il faut aussi s’assurer que les données personnelles soient uniquement utilisées pour les objectifs définis précisément. Il est donc très fondamental de définir très clairement les finalités des traitements futurs possibles dès la collecte initiale des données. Par exemple, il n’est donc pas permis de constituer une liste mailchimp à partir de celle des acheteurs ou des soumissionnaires de formulaires sans un consentement explicite pour cette action. Les politiques de confidentialité doivent donc définir clairement le traitement précis des données.

Minimisation des données et confidentialité par défaut

Pour le développement on met en général en place des environnements de développement, de test et de production. Le principe de minimisation des données impose que les données personnelles ne doivent être utilisées que dans l’environnement de production. Cela complique d’autant les tests et le développement. Si nous décidons de ne pas le faire, nous devons masquer les données sensibles de manière réaliste et cohérente; ceci répond alors aux exigences du RGPD tout en permettant les tests et le développement avec un ensemble significatif de données. En production, il faut veiller à limiter au strict nécessaire les données collectées. Il est nécessaire de se poser la question de savoir si on a réellement besoin de ces données.

Lorsque l’on analyse les données, il faut aussi considérer celles qui sont périmées et estimer si on a encore besoin des données anciennes. Dans la pratique, il sera alors utile d’envisager de les masquer ou de les effacer. La minimisation des données est l’une des choses les plus difficiles à gérer, en particulier dans un environnement de développement, test et production. Faire simplement glisser les bases de données de la production ne sera plus un flux de travail acceptable.

Pseudonimisation, encryption et SSL

Le GDPR se réfère à la pseudonimisation. C’est un moyen de transformer les données afin qu’elles ne puissent pas être facilement liées à un individu. Par exemple, on peut utiliser un identifiant lié à des données non personnelles (produit commercial, montants, frais d’expédition, etc.) et conserver les données personnelles identifiables dans une base de données distincte. Par cette action, une violation de données sur la base de données principale ne produira pas de perte de données personnelles. Clairement, ce n’est pas toujours possible lors de l’utilisation de CMS ou outils similaires pour le moment. Pour obtenir ce niveau de sécurité, une révision complète de nombreux modules applicatifs devra être envisagée. Il est donc utile de régulièrement se référer à la base de connaissances des applications afin de suivre leurs développements en regard du GDPR.

Le cryptage peut amener une solution partielle au problème. Afin de s’assurer une transmission sur des canaux sécurisés, le SSL revet toute son importance car les données doivent, en effet, être transmises sur des canaux sécurisés. La plupart des applications doivent évoluer pour répondre à ce niveau d’exigence mais de plus en plus de modules orientés GDPR sont actuellement publiés afin d’assurer la séparation des données. Violation de la confidentialité des données En cas de suspicion de violation de données, les autorités de protection des données doivent être averties dans les 72 heures suivant la découverte. Pour toute perte de données suspectée, une analyse de risques doit être effectuée et l’exploit de violation doit être sécurisé. Une bonne pratique quant aux services at applications web utilisées est de garder tous nos codes et modules sécurisés et à jour. On doit donc stocker des données sur des plates-formes d’hébergement sécurisées en utilisant idéalement des bases de données cryptées.

Droit à l’oubli

Une personne a le droit d’être oubliée, ce qui signifie qu’elle peut demander à ce que ses données soient supprimées d’un site web basé ou non sur un CMS. Les données des visiteurs sont généralement stockées dans des profils utilisateur, les soumissions des formulaires web, les données des commandes passées via le site et toutes les autres données des modules qui collectent éventuellement des informations sur les visiteurs. Les profils utilisateur sont relativement faciles à gérer ; on peut simplement supprimer un compte et faire en sorte que son contenu appartienne à un utilisateur anonyme. Les soumissions des formulaires web peuvent être supprimées. Les données liées à l’e-commerce sont différentes. Il se peut qu’on soit tenu de procéder à une vérification des transactions financières par la loi, ce qui va à l’encontre du droit à l’oubli. Toutefois dans ce cas, l’obligation légale prévaut sur le droit à l’oubli.

Un autre aspect important est le partage de données. Si vous transmettez des données à un service tiers (mailchimp, processeurs de paiement, etc.), les demandes concernant le droit d’être oublié doivent aussi être transmises aux tiers.

 

Envisageons maintenant comment porter ces principes lors de la mise en œuvre d’un site web.

Actions pratiques pour la mise en œuvre du GDPR dans les sites web

  1. Communiquez votre politique de confidentialité
  • Rédigez une politique de confidentialité claire expliquant l’utilisation du code tiers et l’activité de collecte de données.
  • Postez une bannière en référence à votre politique sur la page d’accueil ou faites-y référence d’une façon visible.
  • Offrez une formation interne à vos collaborateurs pour que chacun soit au fait de cette politique de confidentialité.
  1. Fournissez un mécanisme d’opt-in / opt-out facile à utiliser
  • Expliquez le besoin de suivi et comment les cookies pilotent les opérations digitales.
  • Partagez des liens vers les politiques de confidentialité individuelles de tous les fournisseurs sur votre site.
  • Permettez aux individus d’accepter explicitement ou de refuser le traitement des données personnelles.
  1. Comprenez comment les données générées par le site web / l’application sont acquises, utilisées et stockées
  • Identifiez les données : enregistrement, cookies, adresse IP et identifiants.
  • Évaluez la base légale pour collecter les données et déterminez si le consentement est nécessaire.
  • Évaluez la nécessité d’une politique spécifique concernant les données personnelles liées à un mineur (16 ans dans le GDPR, moins de 13 ans au Royaume-Uni et aux États-Unis)
  1. Soutenez la portabilité des données
  • Fournissez un mécanisme permettant de satisfaire facilement la demande de données d’une personne dans un format couramment utilisé.
  • Incorporez dans le site web un processus de signalement des violations de données

 

Conclusions

Bien qu’il soit pratique d’utiliser des modules ou extensions pour répondre à certaines des exigences du GDPR, il est très clair que chaque site web devra être adapté pour présenter une solution acceptable au exigences du GDPR. Il n’y aura vraisemblablement pas de solution unique pour cela. Les propriétaires de sites doivent donc examiner attentivement toutes leurs fonctionnalités de collecte et de stockage de données et s’assurer que leurs sites sont conformes aux nouvelles réglementations. Dans certains cas, cela peut entraîner des modifications majeures du flux de travail et de la base de données. Parler à un professionnel de ces implications est crucial car les amendes de non-conformité sont élevées. Cela impliquera sans aucun doute un travail considérable pour assurer la conformité, mais c’est absolument essentiel.

    X
    Bienvenue au Chat de Nath
    Une question ? La réponse ici !
    wpChatIcon