Conseil en protection des données
La confidentialité des données et la sécurité des données se recoupent, mais ne constituent pas une seule et même question. La sécurité consiste à déterminer si les données sont protégées contre tout accès non autorisé. La confidentialité, quant à elle, porte sur la question de savoir si vous devriez, a priori, collecter et utiliser ces données de la manière dont vous le faites, si les personnes concernées en ont connaissance, et si vous êtes réellement en mesure de respecter les droits que leur confèrent des réglementations telles que le RGPD et la CCPA, par exemple en supprimant les données d’une personne à sa demande ou en lui indiquant précisément quelles données vous détenez.
Le problème auquel la plupart des organisations sont confrontées ne réside pas dans une intention malveillante, mais dans le fait que les pratiques de collecte de données se sont développées de manière organique au fil des années : un outil marketing par-ci, un script d’analyse par-là, un formulaire qui recueille plus d’informations que nécessaire, jusqu’à ce que personne ne puisse apporter de réponse claire à la question « de quelles données à caractère personnel disposons-nous réellement, et pourquoi ? ». C’est précisément cette lacune qu’un audit de confidentialité met en évidence, et c’est exactement ce qui vous cause des problèmes si une autorité de régulation ou un client pose la même question.
Mon approche de cette question
Je commence par une cartographie des données, en déterminant quelles données à caractère personnel vous collectez réellement, où elles sont stockées, qui y a accès et pourquoi elles sont collectées au départ. Une part surprenante des risques liés à la vie privée disparaît dès lors que vous cessez de collecter des données dont vous n’avez jamais eu besoin. À partir de là, j’examine vos obligations au titre des réglementations applicables — le RGPD pour les personnes concernées de l’UE, la loi CCPA pour les résidents californiens, ainsi que toute règle spécifique à votre secteur d’activité — et je mets en place les mécanismes concrets permettant de les respecter : un processus opérationnel pour traiter les demandes d’accès et de suppression des personnes concernées, des déclarations de confidentialité claires et précises, ainsi que des mécanismes de consentement qui reflètent réellement l’utilisation que vous faites des données.
Je m’intéresse également aux relations avec les fournisseurs, car une grande partie des risques liés à la confidentialité ne provient pas de votre propre traitement des données, mais d’un sous-traitant tiers auquel vous avez confié des données sans accord de traitement des données en bonne et due forme ni aucune visibilité sur la manière dont il les traite.
À qui s'adresse ce document ?
Si vous n’êtes pas certain de pouvoir répondre à une demande d’accès d’une personne concernée dans les délais impartis, si votre politique de confidentialité ne correspond pas réellement à la manière dont vous traitez les données, ou si vous vous développez sur un marché soumis à des réglementations en matière de confidentialité auxquelles vous n’avez jamais été confronté auparavant, il est judicieux de régler ces questions de manière proactive.
Contactez-moi et définissons ensemble quelles données vous détenez réellement et ce que vous devez aux personnes auxquelles elles appartiennent.