Découvrez comment Zonos gère l'initiative du RGPD de l'UE.
La protection des données devient essentielle dans les activités quotidiennes des entreprises. Bien que l'initiative du Règlement général sur la protection des données (RGPD) ne soit pas la première initiative de protection de la vie privée sur le marché, elle constitue à ce jour le moteur le plus important de la compréhension et de la gestion des données des personnes et de leurs droits sur ces données.
Pour faire bouger les choses et attirer l'attention, l'UE permet à ses États membres d'imposer des amendes, dont une pénalité maximale pouvant atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros en cas de non-respect du RGPD. La directive exprime également la volonté d'une administration simple, sous la forme d'un « guichet unique ».
Le RGPD de l'UE est un règlement exhaustif sur la protection de la vie privée entré en vigueur le 25 mai 2018. Nous avons apporté à notre technologie des mises à jour qui non seulement répondent aux exigences du RGPD, mais vont aussi au-delà des frontières de l'UE afin de garantir la protection de la vie privée de tous ceux qui utilisent Zonos.
Zonos offre une technologie de protection de la vie privée de pointe pour que les acheteurs et les commerçants gardent le contrôle de leurs données et de leurs processus, conformément au cadre du RGPD de l'UE.
Les objectifs de Zonos pour votre entreprise demeurent les suivants :
Vous aider à décoder le commerce transfrontalier.
Vous donner le contrôle de la chaîne d'approvisionnement mondiale.
Offrir une expérience sécuritaire et exceptionnelle à vos acheteurs internationaux.
Les amendes peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros en cas de non-respect du RGPD. Il s'agit de l'amende maximale qui peut être imposée pour les infractions les plus graves, par exemple ne pas disposer d'un consentement suffisant du client pour traiter des données ou enfreindre les principes fondamentaux de la « protection de la vie privée dès la conception » (Privacy by Design).
Définition des données personnelles
Les données personnelles sont toute information pouvant servir à identifier directement ou indirectement une personne, comme un nom, une photo, une adresse courriel, des coordonnées bancaires, des publications sur des réseaux sociaux, des renseignements médicaux ou l'adresse IP d'un ordinateur.
Consentement
Le consentement doit être donné sous une forme intelligible et facilement accessible, et la finalité du traitement des données doit y être rattachée. Il doit être non équivoque, facilement identifiable et formulé dans un langage clair et facile à comprendre. Il doit aussi être aussi facile de retirer son consentement que de le donner. Pour le traitement de données personnelles sensibles, seul un consentement explicite préalable (« opt-in ») est acceptable.
Si la personne concernée a moins de 16 ans, le consentement parental sera requis pour traiter les données personnelles de l'enfant. Les États membres peuvent abaisser l'âge du consentement parental, mais pas en dessous de 13 ans.
Délégués à la protection des données (DPD)
Un DPD doit être désigné dans le cas a) des autorités publiques, b) des organisations qui effectuent une surveillance systématique à grande échelle ou de mégadonnées, ou c) des organisations qui procèdent au traitement massif de données personnelles sensibles (article 37). Si votre organisation n'appartient à aucune de ces catégories, vous n'avez pas besoin de désigner un DPD.
Droits des personnes concernées
Notification des violations
En vertu du RGPD, la notification des violations deviendra obligatoire dans tous les États membres lorsqu'une violation de données est susceptible « d'engendrer un risque pour les droits et libertés des personnes physiques ». La notification doit être faite dans les 72 heures suivant la prise de connaissance de la violation. Les sous-traitants seront également tenus d'aviser les responsables du traitement « dans les meilleurs délais » après avoir pris connaissance d'une violation de données.
Droit d'accès
Les personnes concernées ont le droit d'obtenir du responsable du traitement la confirmation que des données personnelles les concernant sont traitées ou non, à quel endroit et à quelle fin. Le responsable du traitement doit fournir gratuitement une copie des données personnelles en format électronique.
Droit à l'oubli
Aussi appelé droit à l'effacement des données, le droit à l'oubli permet à la personne concernée d'obtenir du responsable du traitement qu'il efface ses données personnelles, cesse toute diffusion ultérieure de ces données et, le cas échéant, que des tiers cessent de les traiter. Les données ne doivent plus être pertinentes au regard des finalités initiales du traitement, ou la personne concernée doit avoir retiré son consentement. Il convient également de noter que ce droit oblige les responsables du traitement à mettre en balance les droits de la personne concernée et « l'intérêt public dans la disponibilité des données » lorsqu'ils examinent de telles demandes.
Portabilité des données
La personne concernée peut recevoir les données personnelles la concernant qu'elle a préalablement fournies, dans un « format couramment utilisé et lisible par machine », et a le droit de transmettre ces données à un autre responsable du traitement.
Protection de la vie privée dès la conception
La protection des données doit être au cœur des systèmes technologiques que les responsables du traitement et les sous-traitants utilisent pour gérer les renseignements des personnes concernées, et non un simple ajout.
Renseignements destinés à la personne concernée
Les renseignements qui doivent être communiqués à une personne concernée lors de la collecte de ses données ont été définis avec précision et comprennent :
L'identité et les coordonnées du responsable du traitement et du DPD
Les finalités du traitement auquel les données personnelles sont destinées
Le fondement juridique du traitement
Le cas échéant, les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers
Le cas échéant, les destinataires ou les catégories de destinataires des données personnelles
La durée de conservation des données personnelles ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée
L'existence du droit d'accès, de rectification ou d'effacement des données personnelles
Le droit à la portabilité des données
Le droit de retirer son consentement à tout moment
Le droit d'introduire une plainte auprès d'une autorité de contrôle
Il est important de noter que lorsque les données n'ont pas été obtenues directement auprès de la personne concernée (par exemple au moyen d'une liste provenant d'un tiers), la liste varie et comprend la source d'où proviennent les données personnelles :
L'existence de tout profilage et des renseignements utiles sur la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée.
Le RGPD pose un problème important aux spécialistes du marketing qui obtiennent des données à partir de listes de tiers.
Intérêt légitime
L'article 6 du RGPD prévoit qu'un collecteur de données ne peut traiter des données de façon licite que s'il dispose, entre autres, d'un intérêt légitime ou d'un consentement. Pour déterminer si vous avez un intérêt légitime, il faut procéder à une « évaluation attentive » des attentes et du contexte liés aux données que vous recueillez.
Il est tentant d'interpréter l'intérêt légitime de façon large pour se passer du consentement. Nous déconseillons d'adopter une vision très ouverte de l'intérêt légitime pour justifier la collecte de données. Le RGPD donne quelques exemples, comme le traitement de données personnelles pour prévenir la fraude, à des fins administratives internes liées aux employés et aux clients, pour la sécurité des réseaux et pour le signalement d'éventuelles activités criminelles ou menaces à la sécurité publique.
L'intérêt légitime demeure une zone grise, et sa définition se précisera avec le temps. À court terme, nous recommandons de prendre l'habitude de se demander : « Peut-on atteindre le même objectif sans traiter de données personnelles? » Si la réponse est oui, la meilleure pratique consiste à ne plus invoquer l'intérêt légitime comme fondement du traitement des données; vous devriez plutôt obtenir le consentement.
Zonos recommande ce qui suit pour se conformer au RGPD de l'UE :
Étapes pour se conformer au RGPD
Mettez en place un plan proactif pour votre conformité au RGPD.
Révisez vos avis et politiques de confidentialité, et assurez-vous qu'ils respectent les exigences de conformité du RGPD.
Préparez un plan en cas d'atteinte à la sécurité.
Vérifiez vos consentements.
Faites en sorte que les consentements marketing soient de type « opt-in ».
Examinez la partie de la directive portant sur l'intérêt légitime avec votre conseiller juridique pour vous assurer qu'elle couvre votre organisation pour l'utilisation des données de l'acheteur afin de traiter et de gérer sa commande.
Rendez votre texte de consentement sur l'utilisation des données personnelles facile à trouver et à lire.
Établissez un plan d'action pour les demandes que les personnes concernées adressent à votre organisation au sujet de l'utilisation de leurs données.
Assumez la responsabilité de votre conformité.
Formez vos employés.
Mettez en place des processus clairs, consignés par écrit et audités.
Désignez un DPD lorsque c'est requis.
Assurez-vous que vos partenaires responsables du traitement et sous-traitants sont conformes.
Le RGPD s'applique aux organisations, aux responsables du traitement et aux sous-traitants situés à l'intérieur comme à l'extérieur de l'UE qui offrent des biens ou des services à des personnes concernées de l'UE. Le RGPD s'applique également aux organisations, comme les entreprises de marketing ou celles qui fournissent ou utilisent des données, qui surveillent le comportement de personnes de l'UE.
Quelle est la différence entre un responsable du traitement et un sous-traitant?
Le responsable du traitement détermine les finalités, les conditions et les moyens du traitement des données personnelles, tandis que le sous-traitant traite les données personnelles pour le compte du responsable du traitement.
RGPD de l'UE
RGPD de l'UE
Découvrez comment Zonos gère l'initiative du RGPD de l'UE.La protection des données devient essentielle dans les activités quotidiennes des entreprises. Bien que l'initiative du Règlement général sur la protection des données (RGPD) ne soit pas la première initiative de protection de la vie privée sur le marché, elle constitue à ce jour le moteur le plus important de la compréhension et de la gestion des données des personnes et de leurs droits sur ces données.
Pour faire bouger les choses et attirer l'attention, l'UE permet à ses États membres d'imposer des amendes, dont une pénalité maximale pouvant atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros en cas de non-respect du RGPD. La directive exprime également la volonté d'une administration simple, sous la forme d'un « guichet unique ».
Comment nous gérons le RGPD
Le RGPD de l'UE est un règlement exhaustif sur la protection de la vie privée entré en vigueur le 25 mai 2018. Nous avons apporté à notre technologie des mises à jour qui non seulement répondent aux exigences du RGPD, mais vont aussi au-delà des frontières de l'UE afin de garantir la protection de la vie privée de tous ceux qui utilisent Zonos.
Zonos offre une technologie de protection de la vie privée de pointe pour que les acheteurs et les commerçants gardent le contrôle de leurs données et de leurs processus, conformément au cadre du RGPD de l'UE.
Les objectifs de Zonos pour votre entreprise demeurent les suivants :
Principaux éléments de la directive RGPD
Sanctions
Les amendes peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros en cas de non-respect du RGPD. Il s'agit de l'amende maximale qui peut être imposée pour les infractions les plus graves, par exemple ne pas disposer d'un consentement suffisant du client pour traiter des données ou enfreindre les principes fondamentaux de la « protection de la vie privée dès la conception » (Privacy by Design).
Définition des données personnelles
Les données personnelles sont toute information pouvant servir à identifier directement ou indirectement une personne, comme un nom, une photo, une adresse courriel, des coordonnées bancaires, des publications sur des réseaux sociaux, des renseignements médicaux ou l'adresse IP d'un ordinateur.
Consentement
Le consentement doit être donné sous une forme intelligible et facilement accessible, et la finalité du traitement des données doit y être rattachée. Il doit être non équivoque, facilement identifiable et formulé dans un langage clair et facile à comprendre. Il doit aussi être aussi facile de retirer son consentement que de le donner. Pour le traitement de données personnelles sensibles, seul un consentement explicite préalable (« opt-in ») est acceptable.
Si la personne concernée a moins de 16 ans, le consentement parental sera requis pour traiter les données personnelles de l'enfant. Les États membres peuvent abaisser l'âge du consentement parental, mais pas en dessous de 13 ans.
Délégués à la protection des données (DPD)
Un DPD doit être désigné dans le cas a) des autorités publiques, b) des organisations qui effectuent une surveillance systématique à grande échelle ou de mégadonnées, ou c) des organisations qui procèdent au traitement massif de données personnelles sensibles (article 37). Si votre organisation n'appartient à aucune de ces catégories, vous n'avez pas besoin de désigner un DPD.
Droits des personnes concernées
Notification des violations
Droit d'accès
Droit à l'oubli
Portabilité des données
Protection de la vie privée dès la conception
Renseignements destinés à la personne concernée
Les renseignements qui doivent être communiqués à une personne concernée lors de la collecte de ses données ont été définis avec précision et comprennent :
Il est important de noter que lorsque les données n'ont pas été obtenues directement auprès de la personne concernée (par exemple au moyen d'une liste provenant d'un tiers), la liste varie et comprend la source d'où proviennent les données personnelles :
Intérêt légitime
L'article 6 du RGPD prévoit qu'un collecteur de données ne peut traiter des données de façon licite que s'il dispose, entre autres, d'un intérêt légitime ou d'un consentement. Pour déterminer si vous avez un intérêt légitime, il faut procéder à une « évaluation attentive » des attentes et du contexte liés aux données que vous recueillez.
Il est tentant d'interpréter l'intérêt légitime de façon large pour se passer du consentement. Nous déconseillons d'adopter une vision très ouverte de l'intérêt légitime pour justifier la collecte de données. Le RGPD donne quelques exemples, comme le traitement de données personnelles pour prévenir la fraude, à des fins administratives internes liées aux employés et aux clients, pour la sécurité des réseaux et pour le signalement d'éventuelles activités criminelles ou menaces à la sécurité publique.
L'intérêt légitime demeure une zone grise, et sa définition se précisera avec le temps. À court terme, nous recommandons de prendre l'habitude de se demander : « Peut-on atteindre le même objectif sans traiter de données personnelles? » Si la réponse est oui, la meilleure pratique consiste à ne plus invoquer l'intérêt légitime comme fondement du traitement des données; vous devriez plutôt obtenir le consentement.
Recommandations
Zonos recommande ce qui suit pour se conformer au RGPD de l'UE :
Étapes pour se conformer au RGPD
Foire aux questions
Qui est concerné?
Le RGPD s'applique aux organisations, aux responsables du traitement et aux sous-traitants situés à l'intérieur comme à l'extérieur de l'UE qui offrent des biens ou des services à des personnes concernées de l'UE. Le RGPD s'applique également aux organisations, comme les entreprises de marketing ou celles qui fournissent ou utilisent des données, qui surveillent le comportement de personnes de l'UE.
Quelle est la différence entre un responsable du traitement et un sous-traitant?
Le responsable du traitement détermine les finalités, les conditions et les moyens du traitement des données personnelles, tandis que le sous-traitant traite les données personnelles pour le compte du responsable du traitement.
Cette page vous a-t-elle été utile?