Information des personnes et transparence (KVKK et RGPD) : par quoi commencer de zéro ?

La plus grosse erreur, c'est de confondre obligation d'information et consentement explicite. La mention d'information n'est pas une demande d'autorisation ; c'est un document pour dire à l'autre partie « voilà selon quelles règles je traite vos données ». Par conséquent, mettre une case à cocher « lu et approuvé » en bas du texte est juridiquement faux, il suffit simplement qu'il soit accessible.

Vous avez écrit que vous collectez des infos sur les allergies, c'est un point critique. Aussi bien sous le KVKK que sous le RGPD, les sensibilités de santé et alimentaires sont considérées comme des données personnelles sensibles. Pour traiter ces données, une simple information générale ne suffit pas : vous devez recueillir un consentement explicite, limiter la durée de conservation à l'événement et les chiffrer en base de données.

Ce que vous pouvez faire dès demain est tout simple : en bas du formulaire de devis sur votre site, ne mettez pas de case à cocher, mais un lien du style « En envoyant ce formulaire, vous déclarez avoir pris connaissance de la Politique de traitement des données personnelles ». Le temps de rédiger le texte complet, vous aurez au moins initié la démarche de transparence au point de contact.

edit : j'ai écrit depuis mon téléphone, désolé pour les fautes.

Vous hébergez les données des clients en Turquie sur des serveurs en France, ou bien les données des clients en France sont transférées vers la Turquie ? S'il y a un transfert transfrontalier de données, vous êtes obligé d'expliquer dans la mention d'information, sous une rubrique dédiée, les pays de destination et les garanties juridiques mises en place.

Ne faites pas confiance aux générateurs automatiques de politiques sur le net. La plupart sont de simples traductions de « privacy policy » basées sur le droit américain. Ni l'autorité de contrôle en France ni le service juridique de votre client corporate n'accepteront ces modèles. Il vous faut absolument un texte simple, mais adapté à votre activité réelle.

En tant que personne morale exerçant en France, votre obligation première relève du RGPD et des réglementations de la CNIL. Pour que les personnes concernées puissent exercer leurs droits d'accès, de rectification et d'effacement, la loi vous impose d'indiquer clairement dans la mention d'information une adresse e-mail dédiée à ces demandes.

Pour partir de zéro, suivez ces trois étapes : 1) Créez un tableau d'inventaire d'une page qui catégorise les données collectées selon leurs finalités, 2) En vous basant sur cet inventaire, rédigez une mention d'information claire et à plusieurs niveaux, 3) Intégrez durablement le lien vers ce texte au bas de vos formulaires et de vos devis PDF.

Franchement, ne vous prenez pas trop la tête. Les clients B2B veulent surtout voir si vous prenez le sujet au sérieux. Avec un document de base propre et des durées de conservation cohérentes vous passerez les contrôles sans problème.

Je suis d'accord. L'erreur commise du côté de information des personnes et transparence KVKK est généralement réversible, mais coûteuse.

Il faut y aller étape par étape. Quand on essaie de tout changer en même temps, rien ne prend.

vous avez raison et franchement un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

c'est confirmé par l'expérience.

Ce sujet est archivé.

Je suis d'accord. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Bon courage.

Pourriez-vous préciser un peu ? Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur. J'espère que cela vous sera utile.

résumé rapide pour les nouveaux : Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

si c'est une première, commencez petit l'échelle viendra plus tard puis franchement bien sûr, cela change si votrre situation est différente.

Ce qui est écrit correspond exactement à ce que nous avons vécu. Plus il est difficile de revenir sur une décision plus il faut la prendre lentement.

C'est confirmé par l'expérience.

J'y pensais aussi. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

je me pose aussi la question.