RGPD

Qu'est-ce que le règlement général sur la protection des données (RGPD)?

Le RGPD est la loi complète de l'Union européenne sur la protection de la vie privée et des données qui est entrée en vigueur le 25 mai 2018. L'objectif principal du RGPD est de réglementer la manière dont les données personnelles des individus dans l'UE sont traitées - même par des entreprises qui n'ont pas de ou une présence légale dans l'UE. Les organisations peuvent faire face à de lourdes amendes en cas de non-conformité : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé.

Est-ce que Pabau est certifié GDPR?

Il n'y a pas encore de système de certification RGPD reconnu, mais nous avons travaillé dur pour nous assurer que nous sommes en conformité avec le RGPD.

Le nouveau DPA régit les conditions selon lesquelles nous, en tant que sous-traitant, traitons les données pour vous, nos clients (qui sont généralement des contrôleurs de données) conformément à l'article 28 du RGPD.

Selon l'article 28 du RGPD, les sous-traitants ne doivent agir que sur les instructions documentées du responsable du traitement, sauf disposition contraire de la loi. Cependant, cela ne nous libère d'aucune de nos obligations ou responsabilités en vertu du RGPD. Nous sommes toujours tenus de nous assurer que nous sommes en conformité avec le RGPD.

Que fait Pabau pour s'assurer qu'il (et ses fournisseurs) sont conformes au RGPD?

Nous continuerons d'examiner nos mesures de sécurité, comme nous le faisons toujours, pour rester à la pointe de l'évolution des normes et des meilleures pratiques de l'industrie.

Donc Pabau est conforme au RGPD. Cela signifie-t-il que je suis également conforme automatiquement? Sinon, où puis-je en savoir plus sur mes propres obligations?

Non, bien que nous ayons fait de notre mieux pour vous faciliter la mise en conformité, vous devrez toujours vous occuper de vos propres pratiques en matière de conformité GDPR.

Une grande partie de la façon dont vous collectez, utilisez et éliminez les données personnelles n'est pas déterminée par votre processeur de données (c'est-à-dire nous). Ainsi, chaque organisation devrait obtenir ses propres conseils professionnels sur le sujet pour aider à assurer la conformité. Voici une ressource supplémentaire du Bureau du Commissaire à l'information du Royaume-Uni : https://ico.org.uk/for-organisations/resources-and-support/data-protection-self-assessment/getting-ready-for-the-gdpr/.

Suis-je responsable du traitement des données? Pabau est-il un processeur de données?

En règle générale, vous (le client Pabau) serez considéré comme un contrôleur de données (c'est-à-dire une organisation qui détermine les finalités et les moyens du traitement des données personnelles) et nous serons toujours considérés comme un sous-traitant en vertu de la loi.

Les contrôleurs et les sous-traitants ont chacun leurs propres obligations respectives en vertu de la loi. Lorsqu'un contrôleur de données engage un fournisseur de services comme nous, le fournisseur de services est généralement un processeur de données agissant au nom du contrôleur, et le processeur agit à la demande du contrôleur. Comme indiqué ci-dessus, notre DPA régira la relation et la nature des activités de traitement entre Pabau et ses clients.

Qu'est-ce qui est considéré comme des données personnelles?

Selon l'article 4 du RGPD, les données à caractère personnel désignent… «toute information relative à une personne physique identifiée ou identifiable (« personne concernée »); une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs facteurs propres à l'aspect physique, physiologique, l'identité génétique, mentale, économique, culturelle ou sociale de cette personne physique. »

Alors, qu'est-ce que ça signifie pour vous?

Dans votre compte Pabau, cela inclurait les informations de contact de vos clients. Et ils peuvent à un moment donné vous demander de les oublier, ou de modifier leurs informations pour être exactes, etc. Vous seriez alors responsable de répondre à cette demande.

Le RGPD nécessite-t-il une case à cocher supplémentaire pour pouvoir traiter légalement les données personnelles? Ou une phrase telle que «entrez vos informations pour que nous puissions vous envoyer un e-mail XYZ Pdf» sera-t-elle suffisante?

Si vous traitez des données personnelles sur la base du consentement de la personne concernée, vous devrez inclure un mécanisme pour recueillir ce consentement, qui pourrait inclure une case décochée que la personne concernée peut cocher pour consentir au traitement de ses données. Si vous pouvez considérer ce type d'arrangement comme un "contrat" entre vous et la personne qui a demandé le "quelque chose", alors vous pourrez peut-être ignorer complètement la case à cocher et baser votre traitement sur la nécessité d'exécuter vos obligations en vertu de ce " Contrat".

Si en tant que client me demande d'exercer son droit à l'oubli, dois-je le supprimer de ma base de données?

Oui. L'article 17 du RGPD définit le droit de la personne concernée à l'effacement de ses données (également connu sous le nom de «droit à l'oubli») lorsque certains motifs (larges) s'appliquent, comme (sans limitation) lorsque les données personnelles ne sont pas n'est plus nécessaire aux fins du traitement, lorsque le consentement, comme seule base du traitement, a été retiré, ou lorsque la personne concernée s'est opposée au traitement de ses données personnelles et que vous n'avez pas de «motifs légitimes impérieux» pour poursuivre le En traitement. Il est important de noter dans quelle mesure ce droit s'applique: dans la pratique, il y aura peu de circonstances où le RGPD n'exigera pas la suppression de données à la demande de la personne concernée.

Que faire si j'offre des services gratuitement (par exemple, envoyer régulièrement des photos de chat par e-mail à mes clients abonnés sans qu'ils aient à payer)? Cela constitue-t-il un contrat et peut-il être considéré comme une base légale pour un traitement licite des données personnelles?

Oui. Le RGPD ne se limite pas aux situations où de l'argent est transféré. Selon l'article 3.2(a) du RGPD, le simple fait d'offrir des biens ou des services aux personnes concernées de l'UE, même sans paiement, rend cette transaction réglementée par le RGPD. En utilisant vos services pour lesquels aucun paiement n'est requis, vos clients acceptent généralement les conditions d'utilisation/conditions d'utilisation que vous affichez sur le site Web, formant ainsi un contrat valide. Vous pouvez l'utiliser comme base légale pour justifier le traitement des données personnelles, simplement parce qu'il est nécessaire pour remplir vos obligations en vertu du contrat.

Dans le cadre du RGPD, puis-je toujours faire cocher mes formulaires d'acceptation par défaut?

Non, veuillez noter que l'utilisation de cases opt-in pré-cochées n'est pas valide dans le cadre du RGPD. Le silence ou l'inactivité de la personne concernée, ainsi que la simple utilisation d'un service (sans cocher au préalable une case pour indiquer son accord) ne comptent pas comme «consentement».