Le GDPR, la collecte de données personnelles et la mise à jour de votre politique de confidentialité
Le règlement général européen sur la protection des données, ou GDPR, est entré en scène en mai 2018 dans le but de protéger les données personnelles des utilisateurs et de réduire le risque de failles de sécurité et de mauvaise manipulation des données personnelles sur Internet.
Avant l’entrée en vigueur du GDPR, de nombreuses entreprises collectaient et stockaient autant de données personnelles que possible et les conservaient pour toujours. Maintenant, cependant, les entreprises ne peuvent pas conserver ou utiliser des données personnelles à moins d’avoir le consentement des utilisateurs ou une autre base légale pour le faire.
Qu’est-ce qu’une donnée personnelle ?
Les données personnelles comprennent presque tout ce qui concerne un utilisateur en ligne, notamment :
- Nom
- Adresse électronique
- Localisation
- Adresse IP
- Historique du navigateur
Le GDPR classe par défaut beaucoup d’informations contenues dans les journaux des serveurs web comme données personnelles. Les serveurs web comme Apache et NGINX collectent et stockent automatiquement deux de ces trois types de journaux :
- Journaux d’accès
- Journaux d’erreurs
- Journaux d’audit de sécurité
Certaines données personnelles sensibles peuvent être enregistrées par accident, comme les informations de référence d’un autre site web qui fournit des services sensibles.
Les données personnelles peuvent sembler abstraites et triviales, mais beaucoup d’entre elles peuvent être très sensibles et même dangereuses si elles ne sont pas sécurisées. collecte des données personnelles
Exigences du GDPR
Le GDPR stipule que vous pouvez collecter et stocker certaines informations tant que les utilisateurs restent totalement anonymes. Il ne doit y avoir aucune chance que l’utilisateur puisse être retracé à partir des données que vous avez stockées.
Les données doivent être conservées le moins longtemps possible. Si les données deviennent obsolètes ou inutiles, elles doivent être effacées. Votre entreprise doit fixer des limites de temps et des raisons clairement énoncées pour conserver les données personnelles.
Ces données personnelles doivent toujours être exactes et à jour.
Selon le GDPR, vous ne devriez presque jamais collecter certaines données sensibles telles que :
- Race ou origine ethnique
- Options politiques
- Croyances religieuses ou philosophiques
- Adhésion à un syndicat
- Données génétiques ou biométriques
- Santé ou mortalité
- Vie sexuelle ou orientation sexuelle
Anonymat et chiffrement
L’anonymat et le pseudonymat sont des méthodes utilisées pour garder les données personnelles d’un individu et son identité séparées. La différence entre l’anonymisation et la pseudonymisation est de savoir si les données peuvent être reliées à l’utilisateur.
L’anonymisation est le dépouillement complet de l’identité des données personnelles. Les informations identifiables sont complètement supprimées. Personne, pas même l’organisation qui a collecté les données, ne peut identifier la personne dont les données ont été collectées. Jamais.
La pseudonymisation est le détachement des données et de l’identité, avec une mise en garde. Les données et l’individu ne peuvent pas être reconnectés sans certaines informations supplémentaires détenues séparément des données.
En procédant ainsi, les organisations peuvent garder les données en sécurité et les utiliser plus librement qu’elles ne le pourraient autrement.
Bases légales pour la collecte de données personnelles
Il existe six bases légales pour la collecte, la détention et le traitement des données, comme indiqué dans le GDPR :
- L’intérêt vital de la personne
- L’intérêt public
- La nécessité contractuelle
- Le respect des obligations légales
- Le consentement univoque de la personne
- L’intérêt légitime du responsable du traitement
Politiques de confidentialité
L’une des choses les plus importantes à faire pour se conformer au GDPR est la mise à jour de votre politique de confidentialité pour répondre aux exigences. La plupart du temps, vous devrez simplement rendre les choses plus spécifiques.
Menez un auto-audit de la loi sur la protection de la vie privée afin de savoir exactement quelles sont les pratiques de confidentialité auxquelles votre entreprise se livre et quelles sont les informations que vous devez divulguer à vos utilisateurs.
Soyez aussi clair et transparent que possible. Par exemple, la partie de votre politique de confidentialité qui indique comment vous utilisez les données personnelles devrait également dire si vous utilisez ces données pour prendre des décisions automatisées et comment.
