L’Article 7 du RGPD
“Article 7 – Conditions applicables au consentement
Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant.
Si le consentement de la personne concernée est donné dans le cadre d’une déclaration écrite qui concerne également d’autres questions, la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples. Aucune partie de cette déclaration qui constitue une violation du présent règlement n’est contraignante.
La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement.
Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat. »
La liste des traitements soumis à consentement est assez longue :
- “Proposer de recevoir des emails commerciaux”
- “Faire des photos de vos personnels.”
- “Transférer de données hors Union Européenne”
- “L’existence de transferts inter-entreprise”
- “Le droit à la limitation ne peut être appliqué dans votre cas”
- “Vous récupérez des informations non nécessaires aux traitements mais nécessaires pour vérifier l’exactitude des données fournies.”
- “Vous recueillez des données qui révèlent l’origine raciale ou ethnique, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale, la santé ou la vie sexuelle” (attention… ceci risque de ne pas durer et d’être purement et simplement interdit)
Vous avez donc une majorité de cas ou le consentement doit être demandé, mais ne croyez pas qu’une simple case à cocher suffira pour tous les traitements. Il faut le faire par traitement. Mais bon nombre d’entre vous le faîtes déjà.
Si une personne consent à recevoir des newsletters, elle ne consent pas forcément à recevoir des offres de vos partenaires, vous avez déjà 2 cases à cocher. Si ce n’est pas le cas vous êtes déjà hors-la-loi.
Petite remarque pour ceux qui aiment être « borderline » : “Le texte n’exclut pas expressément les consentements implicites” mais ça doit rester limité !
Les types de consentements RGPD valides
- Une case à cocher par type de traitements, non pré-cochée pour ceux qui en douteraient ou qui cherchent à minimiser l’impact sur la saisie de leurs formulaires
- un bouton « j’accepte »
- Un curseur explicite, 0 à 10 mails par semaines par exemple avec le curseur à une valeur décente, moins de 5 voir 2.
- Autoriser une application à récupérer ses données de géolocalisation.
Et bien entendu les pages permettant de donner son consentement doivent être facilement accessibles en dehors de la collecte pour permettre de retirer le consentement. Faite attention, ce point fera certainement partie des maillons faibles des processus à venir.
Avez-vous le droit de ne pas délivrer un service s’il n’y a pas consentement ?
Pour les partisans du « pas de bras, pas de chocolat », vous ne pourrez refuser un service que si le consentement est la base du traitement.
Par exemple : je consens à recevoir des newsletters mais je ne veux pas donner mon email.
Mais pas refuser l’accès à un site de rencontre si la personne n’accepte pas la géolocalisation.
Ai-je encore le droit de faire de l’opt-out?
Oui, comme dans le cadre de la loi Informatique et Libertés, si vous avez un client (une personne avec qui vous avez une relation commerciale), vous avez le droit de le prospecter pour des services ou produits similaires. Bien entendu, vous devez permettre le désabonnement à cette prospection, sinon…
Ai-je encore le droit de faire du parrainage ?
Oui, que si :
- Le premier message électronique de prospection envoyé comporte l’identité du parrain.
- Que vous n’utilisez ces coordonnées qu’une seule fois, sauf si vous obtenez son consentement exprès.
J’ai déjà des traitements existants non conformes au RGPD ?
Le RGPD a 2 ans, ce délai a été mis en place pour justement mettre en conformité vos traitements avant le 25 mai 2018. Donc vous êtes en retard.
Mais, avec des bons conseils, vous devriez vous en sortir si ce n’est qu’un retard et que le traitement est légal. (Demandez conseil à nos conseils juridiques)
Quid du principe “intérêt légitime du responsable de traitement” ?
Il est possible d’essayer d’optimiser le recueil des données personnelles en faisant appel au principe “intérêt légitime du responsable de traitement”. Mais sa mise en oeuvre n’est pas aisée.
Les conditions suivantes sont à remplir :
1/ l’intérêt du responsable de traitement doit est licite, et suffisamment précis, réel et présent, on entend par là non hypothétique ou futur;
2/ le traitement envisagé est nécessaire et proportionné à la réalisation de l’intérêt légitime du responsable de traitement;
3 / les intérêts ou droits fondamentaux de la personne concernée ne prévalent pas sur l’intérêt légitime du responsable de traitement;
4/ le responsable de traitement a informé lors du recueil quant aux intérêts légitimes poursuivis.
La formulation doit être réalisé par du personnel juridiques afin de vous protéger, mais il faudra quand même l’écrire et en informer vos clients/prospects internautes …
