Guides RGPD

Le RGPD (Règlement Général sur la Protection des Données) est la loi européenne complète sur la protection des données, en vigueur depuis le 25 mai 2018. Il régit la façon dont les organisations traitent les données personnelles des résidents de l'UE, peu importe où l'entreprise est située. Les amendes maximales sont de 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial.

Oui, si vous collectez des données de résidents de l'UE (même via un site web), le RGPD s'applique peu importe où votre entreprise est située. Le RGPD a une portée extraterritoriale, ce qui signifie qu'il est basé sur les données que vous traitez, pas sur l'emplacement de votre siège.

Une donnée personnelle est toute information permettant d'identifier une personne vivante, directement ou indirectement. Cela inclut les noms, adresses email, adresses IP, identifiants de cookies, données de localisation, données financières, données comportementales et données biométriques. Même les données pseudonymisées sont concernées si elles peuvent être reliées à un individu.

Un responsable de traitement détermine pourquoi et comment les données sont traitées (c'est vous si vous collectez des données clients). Un sous-traitant traite les données pour le compte d'un responsable (comme votre fournisseur CRM). Les responsables sont responsables de la conformité ; les sous-traitants doivent suivre les instructions et avoir un accord de traitement des données.

Le RGPD accorde 8 droits : droit à l'information, droit d'accès (DSAR), droit de rectification, droit à l'effacement (« droit à l'oubli »), droit à la limitation du traitement, droit à la portabilité, droit d'opposition, et droits relatifs à la prise de décision automatisée.

Vous devez répondre dans un délai d'un mois pour les demandes standard (Article 12). Les demandes complexes peuvent être prolongées de deux mois supplémentaires (jusqu'à trois mois au total), mais vous devez notifier le demandeur dans le premier mois. La première demande doit être gratuite ; vous pouvez facturer les demandes excessives ou répétitives.

Non, le consentement est l'une des six bases légales pour le traitement des données. Les autres incluent la nécessité contractuelle, l'obligation légale, les intérêts vitaux, la mission publique et les intérêts légitimes. Les intérêts légitimes ou la nécessité contractuelle peuvent être plus appropriés que le consentement pour de nombreux usages B2B.

Les sanctions maximales sont de 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà des amendes, la non-conformité RGPD affecte la confiance des clients, les attentes des investisseurs et les opportunités de ventes enterprise.

Un DPO est requis selon l'Article 37 pour les autorités publiques, les organisations dont les activités principales impliquent un suivi régulier à grande échelle des individus, ou celles dont les activités principales impliquent un traitement à grande échelle de catégories spéciales de données. La plupart des SaaS B2B n'ont pas légalement besoin d'un DPO mais peuvent en désigner un volontairement.

Un DPA est un contrat juridiquement contraignant entre un responsable de traitement et un sous-traitant. Il définit les finalités de traitement, les mesures de sécurité, les règles sur les sous-traitants ultérieurs et les droits d'audit. L'Article 28 du RGPD exige des DPA chaque fois que vous partagez des données personnelles avec des sous-traitants.