Politique de confidentialité

Qu'est-ce qu'une politique de confidentialité ?

Une politique de confidentialité est un document qui explique comment une entreprise collecte, utilise, partage et protège les données personnelles de ses utilisateurs. Elle est utilisée dès que des données personnelles sont collectées, que ce soit via un site web, une application ou tout autre moyen.

L'objectif principal d'une politique de confidentialité est de s'assurer que les utilisateurs comprennent comment leurs données sont traitées et de garantir que l'entreprise respecte les lois sur la protection des données.

Enfin, il complète les Conditions Générales d'Utilisation (et de Vente) d'un site internet.

Quelle est la différence entre une politique de confidentialité et un accord de confidentialité (NDA) ?

Une politique de confidentialité informe les utilisateurs sur la façon dont leurs données personnelles sont collectées, utilisées, et protégées par une entreprise. Elle s'adresse à un large public, comme les visiteurs de sites web, et doit être accessible publiquement pour respecter les lois sur la protection des données.

En revanche, un accord de confidentialité (NDA) protège les informations sensibles échangées entre parties spécifiques, telles que des partenaires commerciaux ou des employés. Cet accord est privé, signé uniquement entre les parties concernées, et impose des obligations strictes pour éviter la divulgation de ces informations.

En résumé, la politique de confidentialité est un document qui informe publiquement sur l'utilisation des données personnelles, tandis que l'accord de confidentialité protège les informations sensibles partagées de manière privée entre des parties spécifiques.

 

Est-il obligatoire d'avoir une politique de confidentialité ?

Oui, la politique de confidentialité est obligatoire pour toutes les entreprises qui collectent et traitent des données personnelles.

L'absence de politique de confidentialité peut entraîner des sanctions légales et des amendes.

Que doit contenir une politique de confidentialité ?

Pour rédiger une politique de confidentialité complète et conforme, il est important d'inclure plusieurs éléments clés :

• Le type de données collectées (noms, adresses e-mail, numéros de téléphone, adresses IP…);
• La raison de la collecte des données (améliorer les services, personnaliser l'expérience, ou respecter des obligations légales);
• Le partage des données (avec des prestataires de services, des partenaires commerciaux, ou des autorités légales);
• Les droits des utilisateurs (accès aux données, rectification, effacement, limitation du traitement, portabilité des données);
• La protection des données (mesures de sécurité contre les accès non autorisés et les fuites);
• La durée de conservation des données (temps pendant lequel les données sont conservées et critères pour déterminer cette durée);
• L'utilisation des cookies (fonction des cookies et options pour les gérer ou les refuser);
• Le transfert des données à l'étranger (transfert des données hors de l'Union européenne et garanties pour protéger les données);
• Les bases légales du traitement des données (consentement, exécution d'un contrat, intérêt légitime);
• L'informations de contact (coordonnées pour poser des questions ou exercer des droits sur les données personnelles);
• Les mises à jour de la politique (information sur les changements apportés à la politique de confidentialité).

Quelles sont les étapes préalables à la mise en place d'une politique de confidentialité efficace ?

Pour mettre en place une politique de confidentialité efficace, voici les étapes préalables à suivre :

• Évaluer les pratiques de collecte de données : La première étape consiste à identifier toutes les données personnelles et les types de données qui seront collectées par l'entreprise (noms, adresses e-mail, informations financières, etc.), ainsi que les sources de collecte et les méthodes de collecte (formulaires en ligne, cookies, etc.). Ces données doivent ensuite être classées en fonction de leur sensibilité et de leur finalité pour mieux comprendre les risques associés à chaque type de données.
• Comprendre les obligations légales : Il faudra ensuite identifier les obligations légales spécifiques à l'industrie ou au secteur d'activité pour s'assurer que la politique de confidentialité respecte les exigences réglementaires.
• Déterminer les finalités de la collecte des données : Il faudra ensuite également définir les raisons pour lesquelles les données seront collectées et comment elles seront utilisées, que ce soit pour améliorer les services, personnaliser l'expérience utilisateur, ou pour respecter des obligations légales. Il faudra également s'assurer que les utilisateurs comprennent ces finalités et que celles-ci sont clairement expliquées dans la politique de confidentialité.
• Mettre en place des mesures de protection des données : L'étape suivante consiste à mettre en œuvre des mesures techniques et organisationnelles pour protéger les données personnelles contre les accès non autorisés, les fuites de données et les violations de sécurité. Cette étape passe également par la formation et la sensibilisation du personnel en matière de protection des données ainsi que sur les politiques internes de gestion des données.
• Établir les droits des utilisateurs : La dernière étape consiste à dresser une liste des droits des utilisateurs concernant leurs données (droits d'accès, rectification, effacement, limitation du traitement, et portabilité des données). Après avoir dressé cette liste, il faudra mettre en place des procédures permettant aux utilisateurs d'exercer ces droits facilement et efficacement.

Lorsque toutes ces étapes sont complétées, il est temps de rédiger la politique de confidentialité.

Qui est impliqué dans une politique de confidentialité ?

Une politique de confidentialité concerne principalement deux parties : l'entreprise et les utilisateurs ou clients. Voici une explication détaillée de leur rôle et de leurs responsabilités :

L'entreprise ou l'entité légale

L'entreprise est responsable de la création, de la mise en œuvre et de la gestion de la politique de confidentialité pour assurer la protection des données personnelles de ses utilisateurs ou clients. Au sein de l'entreprise, d'autres acteurs sont également impliqués :

• Les dirigeants : Ils doivent s'assurer que l'entreprise respecte les lois sur la protection des données et que la politique de confidentialité est correctement mise en place.
• Les conseillers juridiques : Ils jouent un rôle clé en veillant à ce que la politique de confidentialité soit conforme aux lois et réglementations en vigueur.
• Les employés : Tous les employés sont tenus de respecter la politique de confidentialité. Ils doivent manipuler et traiter les données personnelles de manière sécurisée et conformément aux directives de l'entreprise.
• Les partenaires et prestataires de services : Ils sont également soumis au respect des politiques de confidentialité lorsqu'ils traitent des données personnelles pour le compte de l'entreprise.

Obligations de l'entreprise

- L'entreprise doit former et sensibiliser ses employés et partenaires aux bonnes pratiques de protection des données et s'assurer qu'ils respectent la politique de confidentialité.
- Elle doit également mettre en place des procédures de surveillance pour garantir la conformité continue et l'efficacité de la politique. Cela passe par des audits réguliers et des mises à jour des politiques en fonction de l'évolution de la législation.
- L'entreprise est tenue d'informer tous les membres de l'entreprise et les partenaires en cas de modifications apportées aux politiques de confidentialité et de s'assurer qu'ils sont au courant de leurs obligations.

Utilisateurs et clients

Les utilisateurs et clients sont les personnes dont les données personnelles sont protégées par la politique de confidentialité. Avant de collecter leurs informations, il est nécessaire qu'ils donnent leur accord de manière claire, souvent en cochant une case lors de l'inscription sur un site web.

En Belgique, seuls les majeurs peuvent donner leur consentement légal. Il est important de noter que la collecte de données concernant des mineurs de moins de 16 ans nécessite l'accord explicite de leurs parents ou tuteurs.

Les utilisateurs doivent savoir quels types de données seront collectés, quels sont leurs droits (comme la consultation, la correction, la suppression et le transfert de leurs données), et comment leurs informations seront sécurisées. Il est important qu'ils puissent accéder facilement à la politique de confidentialité et être informés de toute mise à jour.

Combien de temps le consentement des utilisateurs pour la politique de confidentialité reste-t-il valide ?

La validité du consentement des utilisateurs en ce qui concerne la collecte et le traitement de leurs données personnelles dépend de plusieurs facteurs :

• Durée de la relation avec l'entreprise : Le consentement est valable aussi longtemps que l'utilisateur maintient une relation active avec l'entreprise.
• Exigences légales : En vertu du Règlement Général sur la Protection des Données (RGPD), le consentement doit être mis à jour s'il y a des changements significatifs dans la politique de confidentialité ou dans les pratiques de collecte de données. L'utilisateur doit être informé par l'entreprise de ces modifications et donner à nouveau son consentement.
• Expiration et renouvellement du consentement : Selon le RGPD, il est important de renouveler le consentement des utilisateurs pour la politique de confidentialité au moins tous les 13 mois.
• Droit de retrait du consentement : Les utilisateurs ont le droit de retirer leur consentement à tout moment.
• Stockage des données après expiration du consentement : Après le retrait ou l'expiration du consentement, l'entreprise peut conserver les données pour des raisons légales ou contractuelles, mais pour une durée conforme aux lois en vigueur.

En résumé, la validité du consentement des utilisateurs dépend de la durée de la relation avec l'entreprise, des mises à jour nécessaires, et du droit des utilisateurs de retirer leur consentement à tout moment. Il est également important de renouveler régulièrement le consentement pour rester en conformité.

 

Que faut-il faire après que la politique de confidentialité a été acceptée par les utilisateurs ?

Lorsque les utilisateurs ont accepté la politique de confidentialité, il est important de suivre ces étapes afin de s'assurer que les données sont gérées correctement et que les obligations légales sont respectées :

• Archiver l'acceptation : Enregistrer et conserver les détails de l'acceptation des utilisateurs, comme la date, l'heure et les conditions dans lesquelles l'acceptation a été donnée. Cela peut être utile en cas de litige.
• Informer les utilisateurs sur les mises à jour : Les utilisateurs doivent être informés à chaque fois que la politique de confidentialité ou les pratiques de gestion des données sont modifiées. Dans ce cas, il faudra recueillir à nouveau leur consentement.
• Mettre en place des procédures de surveillance : Il est important d'effectuer régulièrement des vérifications pour s'assurer que les pratiques de traitement des données sont conformes à la politique de confidentialité et aux lois en vigueur.
• Gérer les droits des utilisateurs : Les utilisateurs ont des droits sur leurs données personnelles, tels que le droit d'accès, de rectification et de suppression. Il est donc important de mettre en place des procédures pour traiter les demandes rapidement et efficacement.
• Former le personnel : La formation et la sensibilisation du personnel doivent être faites de manière régulière sur les pratiques en matière de protection des données et sur la politique de confidentialité de l'entreprise. Cela garantira que tous les membres de l'équipe comprennent l'importance de protéger les données des utilisateurs.
• Garantir la sécurité des données : Des mesures de sécurité pour protéger les données personnelles contre les accès non autorisés, les fuites ou les pertes doivent être mises en place.

Est-il nécessaire d'authentifier une politique de confidentialité ?

Non, il n'est pas nécessaire d'authentifier une politique de confidentialité, mais elle doit être facilement accessible et compréhensible pour les utilisateurs.

Faut-il toujours obtenir le consentement de l'utilisateur pour le traitement des données ?

Il est important d'obtenir le consentement des utilisateurs avant de traiter leurs données personnelles. Cela permet de garantir qu'ils sont au courant de la manière dont leurs données seront utilisées. Il existe deux types de consentement en fonction du type de données qui sont traitées :

• Consentement requis : Ce type de consentement concerne la plupart des données personnelles, comme les informations de contact et les préférences des utilisateurs. Pour ce type d'information, il est obligatoire d'obtenir leur consentement.
• Consentement explicite : Ce type de consentement concerne les données plus sensibles telles que des informations sur la santé, l'origine ethnique ou les opinions politiques. Un consentement explicite est indispensable dans ce genre de cas. Les utilisateurs doivent être informés de manière très précise sur l'utilisation de leurs données et donner un accord clair.

Il existe quelques exceptions où il n'est pas nécessaire d'avoir ce consentement. Par exemple, dans le cas de traitement de données pour l'exécution d'un contrat, comme l'achat d'un produit, ou pour respecter une loi, comme les déclarations fiscales. De même, si le traitement des données est nécessaire pour protéger la vie de quelqu'un en cas d'urgence, le consentement peut ne pas être nécessaire.

Selon le Règlement Général sur la Protection des Données (RGPD), il est important de renouveler le consentement des utilisateurs pour la politique de confidentialité au moins tous les 13 mois.

Quelles informations doivent être incluses dans la politique de confidentialité concernant l'utilisation des cookies sur un site web ?

La politique de confidentialité doit détailler les types de cookies utilisés par le site. Elle doit également expliquer que les cookies sont des fichiers de petite taille stockés sur le disque dur de l'utilisateur et fournir des informations complètes sur les finalités d'utilisation des cookies. Elle doit préciser les catégories d'informations stockées, la durée de conservation des cookies, les modalités pour effacer ces informations, et comment les utilisateurs peuvent s'opposer au traitement.

Il est important d'informer les utilisateurs de manière claire et visible, via une bannière ou un pop-up, sur l'utilisation des cookies et d'offrir la possibilité d'accepter ou de refuser certains ou tous les cookies. La politique doit également permettre aux utilisateurs de modifier ultérieurement leurs paramètres de cookies.

Pourquoi est-ce important ? Informer les utilisateurs sur les cookies est essentiel pour établir une relation de confiance et se conformer aux lois sur la protection des données. Par exemple, cela permet aux utilisateurs de comprendre comment leurs préférences, comme leur langue préférée ou leur session de connexion, sont mémorisées pour améliorer leur expérience sur le site.

Sans cookies, certaines fonctionnalités du site peuvent être limitées, comme la capacité de mémoriser les articles dans un panier d'achat ou de garder une session ouverte. Cela peut rendre l'expérience utilisateur moins fluide et entraîner des problèmes de conformité légale, avec des risques de sanctions.

Combien de temps une entreprise peut-elle conserver les données personnelles après le retrait ou l'expiration du consentement de la politique de confidentialité ?

Après le retrait ou l'expiration du consentement de la politique de confidentialité, les règles de conservation des données en vertu du RGPD et de la législation belge sont les suivantes :

• Suppression des données : Les données personnelles doivent être supprimées dès que possible si elles ne sont plus nécessaires aux finalités prévues ou si l'utilisateur retire son consentement. L'entreprise a un mois pour traiter une demande de suppression simple, avec une possible extension à trois mois pour les demandes complexes.
• Conservation pour des obligations légales : Certaines données doivent être conservées pour se conformer à des obligations légales spécifiques :
  • Données fiscales : Les documents fiscaux doivent être conservés pendant 7 ans pour répondre aux exigences de l'administration fiscale.
  • Données comptables : Les documents comptables doivent être conservés pendant 10 ans à partir de la clôture de l'exercice, comme stipulé par la législation belge.
  • Données des salariés : Les informations personnelles des employés doivent être conservées pendant 5 ans après la fin de la relation contractuelle.
  • Données des candidats non retenus : Les informations sur les candidats non retenus doivent être conservées pendant 2 ans.
• Conservation pour des motifs légitimes : Les données peuvent être conservées pour une période raisonnable si elles sont nécessaires pour des litiges ou pour défendre des intérêts légitimes de l'entreprise. Par exemple, des données peuvent être conservées aussi longtemps que nécessaire pour résoudre des litiges en cours ou répondre à des audits.

À quelle fréquence le consentement des utilisateurs doit-il être renouvelé pour la politique de confidentialité ?

Selon le Règlement Général sur la Protection des Données (RGPD), il est important de renouveler le consentement des utilisateurs pour la politique de confidentialité au moins tous les 13 mois.

Pourquoi c'est important ? Renouveler le consentement régulièrement aide à s'assurer que les utilisateurs comprennent comment leurs données sont utilisées et qu'ils sont d'accord avec cela.

Si une entreprise ne renouvelle pas le consentement des utilisateurs, elle risque de ne pas être en conformité avec le RGPD, ce qui peut entraîner des sanctions ou des amendes.

Est-il obligatoire d'avoir un délégué à la protection des données personnelles ?

Un délégué à la protection des données (DPD) est obligatoire dans les cas suivants :

• Lorsque le traitement des données est effectué par une autorité ou un organisme public.
• Lorsque les activités principales de l'organisation nécessitent un suivi régulier et systématique à grande échelle des personnes concernées.
• Lorsque l'organisation traite à grande échelle des catégories particulières de données ou des données relatives à des condamnations pénales et à des infractions.

Qui peut être le délégué à la protection des données ?

Le DPD peut être une personne interne à l'organisation ou un prestataire externe possédant une expertise en législation et en pratiques de protection des données.

Qu'est-ce qu'une donnée personnelle ?

Une donnée personnelle est toute information qui se rapporte à une personne physique, telle que son nom, son adresse, son adresse e-mail, son numéro de téléphone, ses informations de paiement et ses identifiants en ligne.

Les données sensibles, quant à elles, sont des données à caractère personnel relatives à l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que les données génétiques, biométriques permettant d'identifier une personne de manière unique, les données de santé, et celles concernant la vie sexuelle ou l'orientation sexuelle.

Quels sont les documents nécessaires à un site internet ?

Pour assurer la conformité légale et la transparence, plusieurs documents sont nécessaires pour un site internet :

• Les politiques de confidentialité expliquent comment le site collecte, utilise, partage et protège les données personnelles des utilisateurs.
• Les conditions générales de vente définissent les conditions contractuelles entre le vendeur et l'acheteur, telles que les produits ou services offerts, les prix et les modalités de paiement.
• Les mentions légales sont obligatoires pour tous les sites web et fournissent des informations sur l'identité de l'éditeur du site, comme le nom, l'adresse, les coordonnées de contact, le numéro d'identification à la Banque Carrefour des Entreprises et le numéro de TVA.
• Les politiques de cookies informent les utilisateurs des types de cookies utilisés, leur finalité, leur durée de conservation et les moyens de les gérer ou de les supprimer.

Quelles lois sont applicables à la politique de confidentialité ?

Règlement Général sur la Protection des Données (RGPD).

Principes généraux

• Article 5 : Principes relatifs au traitement des données à caractère personnel
• Article 6 : Licéité du traitement

Consentement et droits des personnes concernées

• Article 7 : Conditions applicables au consentement
• Article 12 : Transparence des informations et des communications
• Article 13 : Informations à fournir lorsque des données à caractère personnel sont collectées
• Article 14 : Informations à fournir lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée
• Article 15 : Droit d'accès de la personne concernée
• Article 16 : Droit de rectification
• Article 17 : Droit à l'effacement (droit à l'oubli)
• Article 18 : Droit à la limitation du traitement
• Article 20 : Droit à la portabilité des données
• Article 21 : Droit d'opposition

Responsabilités et sécurité

• Article 24 : Responsabilité du responsable du traitement
• Article 30 : Registre des activités de traitement
• Article 32 : Sécurité du traitement
• Article 37 : Désignation d'un délégué à la protection des données
• Article 44 : Principes généraux du transfert de données vers des pays tiers ou à des organisations internationales

Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

Traitements spécifiques et obligations

• Article 7 : Traitement des données des enfants
• Article 8 : Traitements pour motifs d'intérêt public
• Article 9 : Mesures supplémentaires pour les données sensibles
• Article 10 : Traitement des données relatives aux infractions
• Article 11 : Limitations aux droits
• Article 36 : Informations aux personnes concernées

Mesures de sécurités et transfert des données

• Article 50 : Mesures techniques et organisationnelles
• Article 66 : Transfert des données
• Article 89 : Sécurité des données

Loi du 3 décembre 2017 portant création de l'Autorité de protection des données.

Structure et missions

• Article 4 : Missions de l'autorité
• Article 5 : Organisation de l'autorité
• Article 6 : Composition de l'autorité
• Article 11 : Transparence et responsabilité
• Article 12 : Coopération avec d'autres autorités

Comment modifier le modèle ?

Vous remplissez un formulaire. Le document se rédige sous vos yeux au fur et à mesure de vos réponses.

A la fin, vous le recevez aux formats Word et PDF. Vous pouvez le modifier et le réutiliser.