Le GDPR expliqué

À deux semaines de l'entrée en vigueur du GDPR, un certain nombre de personnes se demandent encore de quoi il retourne. Ce billet explique le GDPR dans sa forme la plus simple.

Je suis sûr que la plupart d'entre nous ont reçu des courriers indiquant que leur organisation est conforme au GDPR ou qu'elle travaille dans ce sens. Mais de quoi s'agit-il ? Poursuivons la lecture...

La "confidentialité des données" est devenue un enjeu majeur à l'ère des violations et des piratages de données. Avec l'avènement des médias sociaux, les données personnelles sont omniprésentes. Les organisations demandent aux individus de saisir des informations personnelles telles que leur nom, leur date de naissance, leur adresse électronique et leur photo afin de se connecter à leur site web. Les achats en ligne exigent également que l'on saisisse des numéros de carte de crédit et il est possible que ces numéros soient stockés pour une utilisation ultérieure. Ces données sont stockées sur les serveurs d'une organisation (pour une durée indéterminée). Les données circulent également d'une entreprise à l'autre, sans que l'individu n'en ait connaissance ou ne les contrôle. Un utilisateur non averti (dans un esprit de partage) peut consentir à ce que ses informations personnelles soient "vendues" à des tiers ou à d'autres entreprises avec lesquelles l'entreprise principale fait des affaires.

Avec autant de données personnelles éparpillées dans une organisation, il est évident que ces données privées des citoyens seront récoltées par les entreprises. L'utilisateur n'a aucune idée de qui détient ses informations et de ce qui est fait à ce sujet. Pour ajouter à cette misère, chaque jour apporte son lot de nouvelles sur la compromission de ses informations personnelles. Maintenant, l'utilisateur est encore plus désemparé face à ses données. Qui a accédé illégalement à ses données ? Que fait-on à ce sujet ? Des malfaiteurs invisibles le suivent-ils en ligne et hors ligne ? Tout cela changera à l'aube du 25 mai dans l'Union européenne.

25 mai 2018 :

Alors, que se passera-t-il le 25 mai 2018 ? C'est le jour où le "GDPR" entre en vigueur. Qu'est-ce que le GDPR ? Pour les non-initiés, GDPR est l'abréviation de "Global Data Protection Regulation" (règlement mondial sur la protection des données). C'est le jour où la protection des données devient une réalité pour les citoyens de l'Union européenne. Le GDPR donne aux citoyens de l'Union européenne un plus grand contrôle sur leurs données. Voici les principales caractéristiques du GDPR :

D'emblée, la portée géographique du GDPR est exposée. Il n'y a aucune ambiguïté dans la définition de la portée de la conformité au GDPR. La conformité au GDPR s'applique à toutes les organisations opérant dans l'UE. Elle s'applique également à toutes les entreprises traitant des données de citoyens de l'UE, quelle que soit la localisation de l'entreprise. Les termes du GDPR sont désormais énoncés dans une version absolument explicite manière.
Le concept de "sous-traitants" et de "contrôleurs" est désormais défini. Les contrôleurs sont les organisations qui s'occupent de contrôler qui traite les données personnelles qu'elles acquièrent. Les sous-traitants sont les organisations qui traitent les données des organisations responsables du traitement. Les contrôleurs ou "responsables du traitement", comme on les appelle, ont également une série de responsabilités en vertu du GDPR. Les "contrôleurs de données" doivent employer des "processeurs de données" responsables ou des processeurs qui sont conformes au GDPR.
Des pénalités énormes sont imposées aux organisations qui ne se conforment pas au GDPR. Les organisations peuvent être amende jusqu'à 4% du chiffre d'affaires annuel mondial ou 20 millions d'euros (le plus élevé des deux).
Il convient désormais de définir la durée pendant laquelle les organisations peuvent conserver les données personnelles d'un individu. C'est le concept deconservation des données'. L'utilisateur contrôle la durée pendant laquelle ses données seront conservées sur les serveurs d'une organisation (peut-être 14 mois ou 16 mois). Après la période indiquée, les données doivent être définitivement supprimées.
A titre d'exemple, voici les déclarations du site web de Google analytics : "Les contrôles de conservation des données de Google Analytics vous donnent la possibilité de définir la durée pendant laquelle les données relatives aux utilisateurs et aux événements stockées par Google Analytics sont automatiquement supprimées des serveurs d'Analytics." C'est le 'droit à l'oubliCe qui constitue un pas de géant dans l'amélioration de la confidentialité des données.
Les organisations doivent formuler les conditions d'utilisation des données de l'utilisateur de manière simple et facile à comprendre. Il n'y a pas de place pour un jargon juridique compliqué dans le cadre du GDPR. 'TransparenceLe consentement de l'utilisateur est d'une importance capitale dans le cadre de la nouvelle loi. Le consentement de l'utilisateur ne peut être obtenu qu'après que l'utilisateur ait compris toutes les conditions générales.
Si une brèche se produit, dans laquelle les données de l'utilisateur sont compromises, l'organisation se voit accorder 72 heures d'en informer les personnes concernées.
Les individus ou les "personnes concernées" ont le droit de connaître l'utilisation de leurs données personnelles. Elles ont le droit de savoir quelle partie de leurs données est utilisée et peuvent l'obtenir sous forme électronique. Il s'agit du "droit d'accès" des "personnes concernées".