Consentement au traitement des données RGPD: analyse détaillée

Le RGPD (ou le «Règlement») contient plusieurs motifs pour le traitement des données personnelles. Ces bases peuvent être divisées en deux grands groupes. Il s'agit d'un traitement basé sur le consentement personnel du titulaire (propriétaire) des données personnelles et d'un traitement pour d'autres motifs. Cet article décrit les conditions de la bonne exécution du consentement au traitement des données personnelles et n'affecte pas les caractéristiques du traitement pour d'autres raisons.

Cet article est une brève compression et mon interprétation des lignes directrices sur le consentement en vertu du règlement 2016/679 (les lignes directrices) et de certains des documents référencés dans les lignes directrices.

Comment organiser

Le consentement au traitement des données personnelles est un outil de sécurité qui donne à votre entreprise une liberté (bien que limitée) dans le domaine du traitement des données personnelles.

Il y a des conditions de base qui doivent accepter le traitement des données personnelles. Le non-respect de l'un d'eux peut entraîner une situation dans laquelle le consentement obtenu est totalement ou partiellement invalide et votre entreprise risque des amendes.

Amendes du RGPD pour consentement incorrectement exécuté: jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires global de l'entreprise pour l'exercice précédent, le montant le plus élevé étant retenu (article 83, paragraphe 5, point a), du règlement).

Quatre conditions de base pour un consentement correctement exécuté: le consentement est libre , spécifique , informé et sans ambiguïté . Cinquième condition supplémentaire: le consentement doit être expressément exprimé dans des circonstances particulières.

Nous considérons chacune de ces conditions plus en détail.

Le consentement est gratuit

Le consentement est considéré comme libre si le propriétaire des données personnelles a le choix réel de le donner ou non, et à quelles conditions. Les critères suivants sont utilisés pour déterminer le degré de liberté: contraignant aux conditions, un déséquilibre des opportunités (ou pouvoirs) entre le propriétaire des données (particulier) et le responsable du traitement (ceux qui les traitent); la possibilité de diviser les objectifs pour lesquels le consentement est donné; conséquences négatives du refus de donner son consentement.

Reliure aux conditions

Le consentement n'est pas libre si le consentement fait partie d'un contrat qui n'est pas sujet à discussion ou à modification à l'initiative du propriétaire des données. Les données traitées ne sont pas nécessaires à la prestation de services ou à la conclusion (exécution) du contrat. Sans donner son consentement, une personne ne peut pas recevoir un service de base, conclure ou exécuter un accord. Ou le service sera fourni sous une forme tronquée, dans des conditions pires (par exemple, fonctionnalité limitée).

Si l'accord autorise la discussion ou la modification de ses termes, le placement du texte du consentement dans le texte de l'accord avec d'autres informations est toujours considéré comme une manière incorrecte d'informer sur la demande de consentement. Pour en savoir plus, voir Consentement informé .

Exemple tiré du Guide : le service de retouche photo demande le consentement pour traiter les données de géolocalisation sur l'emplacement d'une personne. Le service informe l'utilisateur que des données de localisation sont collectées afin d'étudier le comportement de l'utilisateur et de faire la publicité de biens et services. De toute évidence, le service d'édition lui-même ne nécessite pas la collecte de données de géolocalisation, et dans ce cas, le consentement donné peut être invalidé.

À mon avis, des exceptions sont autorisées dans la situation décrite ci-dessus. Les données de géolocalisation pour le service de traitement des photos peuvent être incluses dans le consentement si un service de retouche photo distinct est fourni en référence à l'endroit où la photo a été prise. Imaginez que l'utilisateur soit intéressé par le service lui-même en indiquant sur la photo le nom exact de la zone où il a été pris. Cela est possible en temps réel (retouche automatique au moment de la photo) ou l'utilisateur accepte que le service se souvienne du lieu où la photo a été prise, puis proposera le nom de la zone à retoucher.

Dans tous les cas où il est prévu de traiter des données qui dépassent les limites clairement et sans ambiguïté nécessaires à la fourniture du service ou à la conclusion / exécution du contrat, un tel traitement doit être associé à la fourniture de services supplémentaires. Le désaccord avec le traitement de données supplémentaires qui n'est pas nécessaire au fonctionnement du service principal ne peut que conduire à l'impossibilité d'utiliser le service supplémentaire, mais pas le service principal.

Déséquilibre des opportunités

Les autorités et structures similaires sont toujours mieux placées. Un déséquilibre des opportunités est présent dans la relation entre employeur et employé. Les règles et les directives considèrent une personne qui accepte comme initialement dans des conditions inégales. Si votre entreprise emploie (sous quelque forme que ce soit) une personne privée de l'Union européenne, il est nécessaire de prendre très au sérieux son consentement au traitement des données personnelles. Cela est particulièrement vrai pour les entreprises qui utilisent activement le transfert d'employés vers des bureaux dans les pays de l'UE. Ces entreprises doivent garder à l'esprit que leurs employés de Russie, d'Ukraine ou d'autres pays de la CEI, bénéficiant d'un statut juridique pour séjourner dans l'UE, tombent automatiquement sous la protection des règles du RGPD.

Exemple: souvent utilisé pour les programmeurs (et autres employés distants) pour enregistrer le temps de travail via des captures d'écran régulières à partir du moniteur. Pour éliminer ou au moins minimiser le risque de forcer un employé à accepter de surveiller les données de son écran, il est conseillé d'inclure une condition de surveillance du temps de travail via les données d'écran dans tout contrat avec un tel employé ou un exécuteur indépendant (entrepreneur). Dans ce cas, le traitement des données obtenues ne sera plus basé sur le consentement, mais sur une autre base légitime - la nécessité de respecter l'accord conclu (article 6, paragraphe 1, point b), du règlement).

Si cette condition n'est pas incluse dans le contrat pour quelque raison que ce soit, alors dès réception du consentement de votre employé, il sera nécessaire de justifier que cette pratique est répandue parmi les employeurs: avis 15/2011 sur la définition du consentement / avis 15/2011 sur la définition du consentement. Avec toutes les preuves de ce fait pour vous, il n'est pas garanti qu'en cas de conflit, l'organisme de réglementation n'exige aucune preuve documentaire d'une telle pratique.

Conformément au droit de l'Union européenne, les avis ne lient pas le droit applicable. En même temps, ils contiennent certains exemples et interprétations des règles du règlement. Les conclusions offrent à tous les participants au traitement des données personnelles des particuliers et des pays de l'UE une approche unifiée de l'application des normes RGPD. (Même si les conclusions ont été publiées avant l'adoption du RGPD, elles ont servi de base à l'élaboration du règlement et peuvent être prises en compte par les autorités réglementaires et les tribunaux).

Je recommanderais de toujours discuter des problèmes de surveillance avec un employé à l'avance. Il est conseillé de s'assurer que l'utilisation de captures d'écran ne sera pas forcée pour lui et n'affectera pas la collecte aléatoire de données personnelles qui ne sont pas nécessaires pour effectuer des travaux dans le cadre du contrat.

Exemple: Un employé est obligé d'utiliser un ordinateur personnel non seulement pour travailler pour votre entreprise, mais aussi pour surveiller une personne handicapée ou un membre âgé de la famille en temps réel. Dans cette situation, il est préférable de lui fournir un ordinateur supplémentaire et fonctionnel. Sinon, vous risquez accidentellement de collecter des données sur des tiers. Il est tout simplement impossible de restreindre un employé dans le droit d'utiliser Internet ou un réseau interne pour des besoins personnels, une telle restriction nécessite des raisons sérieuses.

(Pour plus d'informations sur les nuances du traitement des données personnelles dans les communications électroniques, voir le document de travail sur la surveillance des communications électroniques sur le lieu de travail).

Dans toute relation où il existe un déséquilibre d'opportunité, il est préférable d'éviter le traitement des données basé sur le consentement. Au lieu d'utiliser le consentement, essayez de réfléchir plus attentivement à vos processus commerciaux et indiquez les cas de traitement des données personnelles dans les contrats que vous concluez. Le consentement est souvent difficile à organiser et peu pratique à utiliser dans le système employeur-employé. Votre entreprise devra toujours être prête à passer le test de la liberté de volonté de vos employés lors de l'émission du consentement.

La liste des cas de déséquilibre est ouverte et ne se limite pas aux employeurs ou aux autorités. Un déséquilibre des opportunités entre votre entreprise et une personne de l'Union européenne peut être lorsque le refus de donner votre consentement à vos conditions entraîne des conséquences négatives pour une telle personne. Y compris, aux frais de matériel supplémentaires.

Exemple: Votre entreprise vend des biens ou fournit des services difficiles à remplacer en raison de leur caractère unique ou même de votre meilleur prix par rapport à vos concurrents. Le refus de donner votre accord à vos conditions ne permettra pas à un acheteur de l'Union européenne de vous acheter ce produit de manière rentable ou d'utiliser votre service. Par conséquent, il devra les payer plus cher à un autre fournisseur.

Objectifs écrasants

S'il est possible de partager les objectifs d'obtention du consentement - ils doivent être divisés. En règle générale, il existe toujours une telle opportunité. Une personne doit avoir un choix simple et clair: donner ou ne pas convenir de l'objectif spécifique du traitement.

Exemple: L' utilisateur accepte que vous lui envoyiez des informations sur la mise à jour de votre logiciel. Mais je n'accepte pas que vous transmettiez ses données à vos partenaires. Dans une telle situation, vous ne pouvez pas formuler une requête comme celle-ci:

«Afin de mettre à jour le produit, j'accepte de recevoir de /.../ des notifications de nouvelles versions, y compris des notifications de fonctionnalités mises à jour / ajoutées mises en œuvre par les partenaires /.../, pour lesquelles j'accepte que /. ../ peut transférer mes données personnelles à ses partenaires de son choix. »

Je recommande que lors de l'obtention du consentement (et en général, lors du traitement pour tout autre motif), il soit nécessaire de diviser (en détail) les types de données collectées, le but de les obtenir et toutes les autres informations nécessaires. Cela vous aidera non seulement à éviter les accusations de collecte de données par un certain tableau, sans préciser, mais aussi à comprendre quoi et pourquoi vous collectez, utilisez et stockez, combien de temps il doit être stocké. Lorsque vous recevez des demandes de modification ou de suppression de données, vous pouvez toujours les modifier ou les supprimer rapidement, sans nuire au reste des données.

Si vous avez inclus des données personnelles dans un seul document (contrat ou formulaire volumineux, questionnaire, etc.), pour supprimer ou modifier, vous devrez effectuer de nombreuses formalités. A partir de la re-signature (approbation) d'un tel document par le propriétaire des données lui-même, jusqu'à la reprise de la procédure d'approbation au sein de sa propre entreprise.

Effets négatifs

Ils ne devraient pas l'être. Une personne peut refuser de donner son consentement concernant des données personnelles qui ne sont manifestement pas nécessaires pour lui fournir un service, l'exécution du contrat. Et cela ne doit pas conduire à un refus de lui fournir un service ou de le rendre dans des conditions pires.

Il est facile d'éviter les conséquences négatives. Je répète que toutes les données qui ne sont pas nécessaires au fonctionnement du service principal peuvent être traitées sur la base du consentement donné en relation avec tout service supplémentaire ou privilège supplémentaire (avantages, remises, etc.) que votre entreprise fournit. Je recommanderais pour ces données que vous souhaitez collecter et traiter, mais ne savez pas si elles sont nécessaires pour que le service principal fonctionne, de sélectionner des informations supplémentaires dans la fonctionnalité principale (si cela est techniquement possible). Et liez la réception de données supplémentaires à la possibilité d'obtenir des fonctionnalités avancées.

Le consentement est spécifique

La béton est assurée par les conditions suivantes:

• les finalités pour lesquelles les données sont traitées doivent être spécifiques, clairement exprimées et justifiées;
• le consentement doit être demandé avec une répartition des objectifs (ici, les exigences de concassage sont répétées, voir ci-dessus); et
• les informations fournies lors de la réception du consentement doivent être clairement séparées des informations sur d'autres questions (voir également Consentement informé ).

Exemple tiré du Guide: un câblo-opérateur recueille les données personnelles des utilisateurs et leur envoie des offres personnelles de nouveaux films en fonction des préférences de l'utilisateur. Après un certain temps, l'opérateur décide d'autoriser des tiers à diffuser des publicités ciblées à leurs utilisateurs, également en fonction des préférences des utilisateurs. Ici, l'opérateur doit obtenir un nouveau consentement de ses utilisateurs, concernant un nouvel objectif indépendant.

Réfléchissez à la manière d'indiquer et de formuler correctement les objectifs du traitement des données conformément aux règles. Des conseils sur la fixation d'objectifs sont disponibles dans l'Avis sur la limitation de la finalité 03/2013.

La finalité du traitement ne doit pas être formulée implicitement (floue) ou trop généralisée. En particulier, les mots «améliorer le comportement des utilisateurs», «à des fins de marketing», «pour la sécurité des technologies de l'information» ou «pour de futures recherches» ne sont généralement pas corrects dans le cadre du RGPD. Dans le même temps, la Conclusion 03/2013 recommande de toujours vérifier chaque cas spécifique d'obtention du consentement. Des détails excessifs peuvent conduire à l'effet inverse - les informations sur l'objectif du consentement seront surchargées de termes difficiles à comprendre. À son tour, cela violera l'une des exigences fondamentales du règlement - utiliser un langage clair et simple de tous les documents pour le traitement des données personnelles.

L'Annexe 3 à la Conclusion 03/2013 fournit des exemples de la manière dont les objectifs peuvent être formulés en fonction de la situation.

Exemple A: Un magasin de vêtements local qui distribue ses catalogues de nouvelles collections à un nombre limité de résidents locaux. Dans ce cas, il est autorisé de spécifier simplement «marketing» comme objectif de collecte de données sur les noms, adresses et numéros de téléphone des clients, car le magasin a un cercle limité de clients; tous les clients savent bien qu'il ne s'agit que d'obtenir un catalogue de vêtements. De plus, le catalogue vous permet d'acheter des collections qui n'ont pas encore été largement vendues et qui ne sont pas disponibles pour d'autres clients. C'est-à-dire nous parlons d'un service supplémentaire, abandonnant les acheteurs qui pourront toujours acheter les mêmes vêtements, seulement plus tard.

Exemple B: si nous parlons d'une plate-forme de trading mondiale qui collecte beaucoup de données et utilise des analyses sophistiquées des utilisateurs et de leur comportement pour la publicité ciblée et les offres personnelles, il est nécessaire de détailler chaque objectif du traitement des données; y compris, spécifier des critères pour prendre des décisions automatisées en fonction des profils d'utilisateurs.

La conclusion 03/2013 recommande l'utilisation de notifications en couches ou «en couches» sur les objectifs de traitement des données, à savoir:

Exemple C: Des plaques sont placées sur un bâtiment pour informer immédiatement les visiteurs qu'une surveillance vidéo est en cours. Les étiquettes contiennent de brèves informations sur le traitement: un lien vers le site Web et / ou le nom de la société qui en est responsable. Le site lui-même a une politique détaillée régissant le traitement des données et les droits des propriétaires de données personnelles. Cette technique permet de manière simple et conviviale d'informer rapidement sur le traitement des données personnelles.

Un moyen d'information à plusieurs niveaux est utilisé aujourd'hui par un nombre croissant de services hors ligne et en ligne. Par exemple, lors d'une conversation téléphonique avec des banques, une notification automatique de l'enregistrement de la conversation est lue. Lorsque vous visitez la page du site Web, le visiteur voit un court préavis sur la collecte de cookies, qui contient un lien vers la politique de confidentialité ou vers la politique de traitement des cookies. Si les autres actions du visiteur du site Web impliquent la collecte d'autres données (par exemple, lors du remplissage du formulaire), le consentement au traitement est à nouveau demandé et un lien vers le document avec des informations détaillées est donné.

Le consentement est informé

La direction recommande un ensemble minimal d'informations qu'un propriétaire de données doit obtenir avant de consentir. Il s'agit d'informations sur:

• celui qui collecte les données (responsable du traitement), ce qui lui permet de s'identifier;
• fins de traitement;
• types de données traitées;
• droit de retirer son consentement;
• comment les données sont utilisées pour prendre des décisions automatisées (le cas échéant);
• sur les risques possibles de transfert de données à des personnes de pays en dehors de l'Union européenne, sans un niveau adéquat de protection des données personnelles et sans mesures de protection prises.

Je m'attarderai sur quelques points qui ne sont pas toujours pris en compte.

Premièrement , des informations sur qui collecte et / ou traite les données. Je recommande que ces informations soient facilement accessibles à partir d'une demande de consentement, et seraient suffisantes pour une identification conformément au droit personnel de l'État concerné applicable à une entreprise particulière.Vous devez vous assurer que sur le site Web ou dans la politique de confidentialité, il y a une indication directe du nom, de l'adresse et / ou des numéros d'identification de votre entreprise. Il ne suffit pas d'indiquer le nom de votre entreprise. Si les données seront traitées par un groupe d'entreprises, vous devez répertorier toutes les entreprises de ce groupe.

Une loi personnelle est considérée comme la loi de l'État qui régit le statut d'une personne morale ou autre, les conditions requises pour le nom, la procédure d'enregistrement, etc. sont déterminées.

Deuxièmement , la manière (méthode) d'informer. La demande de consentement doit contenir suffisamment d'informations et utiliser un langage concis compréhensible pour la personne moyenne. Il est inacceptable que le consentement soit caché dans le texte, y compris à travers des constructions comme "Je me rends compte que ..." et similaires. L'envoi de politiques de traitement de données personnelles de plusieurs pages et de documents similaires, si les informations de base ne sont pas fournies sous une forme facile et compréhensible au moment de l'obtention du consentement , est également inacceptable.

Il est recommandé de mettre le texte du consentement en surbrillance avec un en-tête approprié.

: , , , ., (). , - , . , , ( «») . , , – .

Cette exigence est étroitement liée à l'exigence de sensibilisation et, en particulier, à la méthode d'information / de demande de consentement. Le consentement doit être donné par une déclaration ou une action affirmative claire. Le silence ou l'inaction ne peut être considéré comme un consentement. Dans ce cas, on suppose que le consentement n'est pas donné .

Les formulaires de consentement (sur demande) comprennent non seulement des déclarations écrites. Cela peut être n'importe quoi, y compris un enregistrement de conversations orales. Lors de l'enregistrement d'une conversation, il est obligatoire d'informer sur la collecte de données et ce consentement est demandé.

Il existe des situations où un service ou un site Web demande son consentement en ligne via une case à cocher pré-marquée et quelque chose comme un bouton «Suivant». Au lieu du marquage manuscrit du consentement, la marque mise par le service (site web) par défaut est utilisée. Ici, le consentement est considéré comme exprimé indéfiniment, car afin de refuser le consentement à l'utilisateur des services en ligne, il est nécessaire d'annuler les approbations prédéfinies.

Souvent, ces cases à cocher prédéfinies «pèchent» les services de réservation de billets, d'hôtels et autres. En plus de réserver un billet, ils affirment votre achat d'une assurance annulation de vol, perte, assurance vie et autres services. Nous laissons en dehors du champ d'application de cet article la légalité de cette méthode de vente de services supplémentaires. L'important est que même si le client accepte (par hasard) l'achat d'une telle assurance, il est peu probable qu'il puisse donner son consentement éclairé et sans ambiguïté au transfert de ses données à des tiers (compagnies d'assurance et autres).

Le consentement doit être explicite dans des circonstances particulières

Dans certains cas, le RGPD nécessite un consentement explicite. En règle générale, il s'agit de situations de collecte de catégories spéciales de données (par exemple, sur la santé), de transfert vers des pays tiers sans un niveau adéquat de protection des données personnelles ou de prise de décisions automatisées concernant le propriétaire des données. Il est recommandé (bien que non requis sous une forme stricte) de rédiger un consentement sous la forme d'un document (formulaire) signé par le propriétaire des données. Le consentement peut également s'exprimer de différentes manières: en envoyant une photo d'un document, un e-mail, etc. Il est permis de fixer le consentement en enregistrant des négociations orales, si au cours de la conversation toutes les informations nécessaires sont communiquées.

Exemple du guide: - . , , , . « ». , - , .

N'oubliez pas que le retrait du consentement doit être mis en œuvre de la même manière simple que le consentement a été donné. Bien que le règlement n'exige pas que le mécanisme de retrait du consentement soit 100% cohérent avec le mécanisme de sa confirmation.

Exemple du guide: lors de l'achat de billets pour un festival de musique, le consentement au traitement des données à des fins de marketing a été confirmé en cliquant sur «Oui» ou «Non». Mais pour retirer votre consentement, vous devez appeler la billetterie de 8 h à 17 h. Il s'agit d'une situation inacceptable au titre du RGPD qui viole la condition de facilité de retrait du consentement.

N'oubliez pas que des informations sur le droit d'une personne à retirer son consentement doivent lui être fournies avant l'obtention du consentement, dans la demande de consentement. Dans le même temps, il est nécessaire de communiquer comment exercer ce droit. Cela signifie que le moyen le plus simple et le plus efficace de signaler cela est simplement d'offrir un mécanisme de rappel dans le texte de la demande lui-même, dans votre compte personnel, dans une application mobile ou dans un autre service. Le mécanisme de révocation du consentement doit être intuitif pour l'homme.

«Le mécanisme de révocation du consentement doit être intuitif pour l'homme» est le cas lorsqu'un concepteur UX expérimenté est simplement nécessaire.

Exemple: utiliser le lien «Se désinscrire» dans les e-mails pour refuser de recevoir des notifications est un moyen simple et pratique. Il vous permet de retrouver rapidement toute lettre et de retirer votre consentement. Vous pouvez ajouter un bouton ou un lien distinct dans votre compte d'utilisateur. Avec un texte compréhensible, tel que «Refuser le traitement des données personnelles». Ensuite, vous pouvez soit simplement supprimer toutes les données utilisateur, soit lui offrir des options sur les données à supprimer et celles à laisser.

De toute évidence, toutes les données restantes en l'absence de données supprimées peuvent devenir inutiles. Vous devez avertir l'utilisateur à l'avance que toutes les données associées seront supprimées, pas seulement celles sélectionnées.

Un exemple: - . , , . , .

Après le retrait du consentement, votre entreprise doit immédiatement cesser de traiter ces données, sauf s'il existe d'autres motifs pour leur poursuite. Toutes les actions de traitement des données personnelles qui ont été commises avant le retrait du consentement sont considérées comme légales. Mais seulement si le consentement a été initialement émis correctement.

Exemple: les données précédemment obtenues sur la base du consentement sont devenues ultérieurement nécessaires pour remplir les conditions du contrat conclu ou elles doivent être stockées conformément aux exigences de la législation: fiscale, financière ou du travail et tout autre (article 6, paragraphe 1, point b), du règlement).

C'est dans une telle situation que l'avantage de fragmenter au maximum les objectifs de traitement des données et les données elles-mêmes que vous pouvez collecter et traiter devient apparent. Après avoir déterminé quelles données et à quelles fins vous traitez, vous pouvez facilement comprendre pour quels motifs le traitement doit être effectué: sur la base du consentement ou pour d'autres raisons qui n'en dépendent pas.

IMPORTANT! Vous ne pouvez pas modifier arbitrairement la base du traitement des données.

C'est l'un des points subtils du RGPD, qui est indiqué dans le Guide. La base du traitement des données doit être choisie par votre entreprise (et communiquée au propriétaire des données) avant le début du traitement. Vous ne pouvez pas modifier arbitrairement la base du traitement des données personnelles.

Exemple du Guide: s'il s'avère que le consentement a été émis en violation des règles du RGPD et que les données ont été collectées sur la base d'un consentement invalide, vous ne pouvez pas remplacer rétrospectivement le consentement par une autre raison; par exemple - la présence d'un intérêt légitime à faire des affaires par le biais de publipostages (article 6, paragraphe 1, point f), du règlement).

Ici, la question reste ouverte, que faire si soudainement le consentement a été rédigé incorrectement, mais êtes-vous obligé de stocker et de transmettre les données à des autorités réglementaires sur la base des exigences de la législation locale? À mon avis, cela peut être un risque inévitable, car Vous devrez choisir ce que vous violez: la loi locale ou les règles du RGPD.

L'interdiction du remplacement arbitraire des motifs de traitement des données montre à quel point il est important de bien réfléchir aux processus commerciaux de votre entreprise avant de procéder au traitement des données personnelles conformément au RGPD.

Il convient de rappeler que si le consentement est retiré, si votre entreprise continue de traiter les données sur une base différente et que les objectifs de traitement ont changé, vous devez en informer le propriétaire des données personnelles (articles 13 et 14 du règlement).

Consentement obtenu: comment continuer à travailler

Ici, tout est simple.Nous avons besoin d'une surveillance et d'une mise à jour constantes. Le consentement n'est pas un document statique, mais fait partie d'un système de données dynamique. Tout changement lié à la réception de nouvelles données ou à l'utilisation de données existantes, mais à d'autres fins (par exemple, il est prévu de les transférer à des tiers), nécessite la mise à jour du consentement obtenu précédemment. Si vous avez réussi à créer un système logique pour le traitement des données personnelles, y compris des relations compréhensibles entre les catégories (types) de données, les objectifs et les bases de leur traitement, des actions de traitement spécifiques, des délais et d'autres éléments, il ne vous sera pas difficile de demander rapidement un nouveau consentement. Idéalement, ce processus devrait être automatisé.

Brèves conclusions:

Vous pouvez approcher de manière optimale le consentement de vos utilisateurs, partenaires, clients, au traitement de leurs données personnelles, si vous suivez les principes de DRY, KISS, et surtout YAGNI, connus des programmeurs. Si vous interprétez ces principes dans le langage GDPR, alors:

SEC:

fragmentez le système (c'est-à-dire le consentement en tant que document unique ou ensemble de confirmations) en éléments les plus simples possibles. Par exemple, utilisez des cases à cocher en face de chaque type de données personnelles avec une explication de la finalité du traitement et / ou un lien vers un endroit spécifique de la politique de traitement des données personnelles qui fournit des informations supplémentaires à votre utilisateur. Ce sera une solution pratique et compréhensible pour tout le monde. L'utilisateur peut toujours choisir ce qu'il accepte et ce qu'il ne veut pas.

Si vous devez utiliser les données collectées pour une nouvelle cible, il vous suffit d'ajouter cette nouvelle cible (et une case à cocher distincte pour celle-ci). Si quelque chose nécessite une clarification, vous pouvez donner un lien direct vers le texte explicatif. Donnez à une personne la possibilité, grâce au tri, de trouver facilement les objectifs du traitement de ses données, les périodes de stockage, à qui et quelles données peuvent être transférées et à quelles conditions. Les documents volumineux doivent de préférence être construits en utilisant des références croisées pour éviter la duplication de texte.

BAISER:

Indiquez clairement les finalités du traitement des données personnelles pour lesquelles vous souhaitez obtenir le consentement de son propriétaire. Écrivez dans une langue simple et compréhensible. Évitez les généralisations inutiles des données, les finalités de leur traitement, les périodes de stockage, etc. en un seul pool / document ou plusieurs pools / documents massifs. N'oubliez pas que la disponibilité et l'intelligibilité des documents pour une personne ordinaire réglementant le traitement des données personnelles est l'une des exigences fondamentales du règlement RGPD.

YAGNI:

Ne collectez pas plus de données que nécessaire. Vraiment nécessaire. Beaucoup de données, ce n'est pas seulement votre atout, mais aussi un passif. Les données pour lesquelles vous avez obtenu le consentement nécessitent une attention régulière. Il s'agit d'une autre exigence fondamentale générale du RGPD: les données à caractère personnel doivent être adéquates, liées aux objectifs de traitement et nécessaires à leur réalisation (paragraphe 39 de la partie introductive du règlement).

La pertinence des données déjà collectées doit être régulièrement vérifiée, pour la conformité aux objectifs de traitement (les objectifs peuvent être modifiés, complétés), pour assurer la sécurité du stockage et les supprimer dès qu'ils deviennent objectivement inutiles. Vous devez admettre que la fuite accidentelle uniquement de données de passeport ou de carte de paiement (sans parler des données de catégories spéciales) a des conséquences différentes pour les personnes elles-mêmes et pour votre entreprise, qui est responsable du traitement de ces données.