Qu'est-ce que le RGPD? Guide simple pour les créateurs d'apps

Le RGPD (Règlement général sur la protection des données) est la principale loi de l'Union européenne sur la protection des données. Il fixe les règles selon lesquelles les organisations recueillent, utilisent, stockent et partagent les données personnelles — toute information sur une personne physique identifiable — et il donne aux personnes des droits sur leurs propres données, comme celui de les consulter ou de les faire supprimer. Il s'applique depuis le 25 mai 2018, et il peut viser des entreprises hors de l'UE si elles servent des personnes qui s'y trouvent.

Pas un avis juridique. Ce guide est une explication générale pour vous aider à comprendre les bases et à poser de meilleures questions. Il ne remplace pas un avis sur votre situation. Pour des détails faisant autorité, consultez les pages sur la protection des données de la Commission européenne et le guide du Comité européen de la protection des données destiné aux petites entreprises.

Pourquoi c'est important quand vous construisez avec l'IA

Les créateurs d'apps IA rendent la collecte de données très facile. Une seule consigne vous donne un formulaire d'inscription, un formulaire de contact, des analyses, des téléversements de fichiers et un tableau de bord d'administration listant chaque utilisateur. Chacun de ces éléments recueille des données personnelles, et le RGPD s'intéresse à toutes.

La bonne nouvelle, c'est que la plupart des exigences du RGPD sont aussi de bonnes pratiques de produit :

• Ne recueillir que ce dont vous avez réellement besoin.
• Dire aux gens ce que vous en faites.
• Les garder en sécurité.
• Les supprimer quand vous n'en avez plus besoin.
• Permettre aux gens de voir, corriger ou retirer leurs données.

Ces éléments sont beaucoup plus faciles à intégrer dès le départ qu'à ajouter après le lancement. Poser les bonnes questions à votre créateur d'apps IA dès le début vous évite une reconstruction pénible plus tard.

Une analogie du quotidien

Pensez aux données personnelles comme aux effets que les gens laissent avec vous — comme un vestiaire, mais pour l'information. Le RGPD, ce sont les règles de la maison pour le vestiaire :

• Ne prenez que ce que la personne a accepté de laisser, pour une raison qu'elle comprend.
• Ne fouillez pas les poches pour d'autres usages.
• Gardez la pièce verrouillée.
• Rendez les effets, ou jetez-les, quand on vous le demande ou quand vous n'en avez plus besoin.
• Si quelque chose est volé, prévenez rapidement les bonnes personnes.

Vous êtes responsable des manteaux pendant qu'ils sont sous votre garde, même si vous avez engagé quelqu'un d'autre pour gérer la pièce.

Les idées de base

Ce qui est une donnée personnelle

La Commission européenne définit une donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable. La définition est large. Elle comprend les noms, adresses courriel, adresses postales, adresses IP, identifiants de témoins et photos. Une donnée « pseudonymisée » — par exemple des noms remplacés par des codes — peut quand même être une donnée personnelle si elle peut être reliée à une personne.

Certaines catégories bénéficient d'une protection accrue, notamment les données de santé, les données biométriques, l'origine raciale ou ethnique et les opinions politiques.

À qui il s'applique

Selon la Commission, le RGPD s'applique aux organisations établies dans l'UE, et aux organisations hors de l'UE qui offrent des biens ou des services à des personnes de l'UE (payants ou gratuits) ou qui surveillent leur comportement. Une jeune entreprise américaine ou émiratie ayant des clients européens peut très bien être visée. Le Royaume-Uni a sa propre version, le RGPD britannique, qui en est très proche.

Les principes

Le RGPD repose sur une courte liste de principes. En termes simples :

Les bases légales

Vous avez besoin d'une raison légale — une « base légale » — pour chaque façon d'utiliser des données personnelles. Le RGPD en énumère six : le consentement, l'exécution d'un contrat, l'obligation légale, les intérêts vitaux, la mission d'intérêt public et les intérêts légitimes. Le consentement n'est qu'une de ces bases. Traiter une commande pour la livrer, par exemple, relève habituellement du contrat, et non du consentement. La base qui convient est un jugement à vérifier auprès des directives officielles.

Les droits des personnes

La Commission énumère ces droits pour les personnes :

• Être informées de l'usage de leurs données
• Accéder à leurs données
• Faire corriger leurs données
• Faire effacer leurs données
• Limiter le traitement
• La portabilité des données (obtenir leurs données dans un format utilisable)
• S'opposer au traitement
• Les droits liés aux décisions automatisées et au profilage

Les atteintes à la sécurité des données

Si des données personnelles fuient et que la violation risque de porter atteinte aux droits et libertés des personnes, l'organisation doit généralement en aviser son autorité de protection des données sans délai injustifié et, lorsque c'est possible, dans les 72 heures suivant la prise de connaissance de la violation. Dans certains cas, les personnes concernées doivent aussi en être informées.

Un exemple concret : une app de réservation pour un studio de yoga

Disons que vous construisez une app de réservation pour un studio de yoga dont les clients sont en Allemagne. Voici comment le RGPD façonne l'app.

Recueillir moins. Le formulaire d'inscription demande le nom, le courriel et un numéro de téléphone facultatif. Le premier brouillon demandait aussi la date de naissance et l'adresse domiciliaire — rien dans l'app ne les utilise, alors ils sont retirés.

Les données de santé exigent de la prudence. Le studio veut demander au sujet des blessures. Ce sont des données de santé, une catégorie particulière soumise à des règles plus strictes. Le studio décide de traiter cela en personne, si bien que l'app ne le recueille pas.

Être transparent. Une politique de confidentialité explique ce qui est recueilli, pourquoi, combien de temps c'est conservé, qui d'autre traite ces données (l'hébergeur, le service courriel, le fournisseur de paiement) et comment joindre le studio.

Le marketing est distinct. Réserver un cours n'inscrit personne à l'infolettre. Il existe une case distincte, non cochée, pour cela.

Les droits dans le produit. Les clients peuvent consulter et modifier leur profil, télécharger leur historique de réservations et demander la suppression depuis leur page de compte.

Conservation. Les comptes inactifs sont signalés après une période déterminée, puis supprimés si le client ne répond pas. Le studio choisit la période.

Témoins. Le témoin de connexion est nécessaire. Les analyses ne se chargent qu'après que le visiteur les a acceptées. Voir qu'est-ce qu'un témoin.

Sécurité. Les mots de passe sont condensés, la zone d'administration exige l'authentification à deux facteurs, et seul le propriétaire peut exporter les listes de clients.

Termes courants expliqués

Erreurs courantes et idées fausses

• « On n'est pas dans l'UE, donc ça ne s'applique pas. » Cela peut s'appliquer selon l'endroit où se trouvent vos utilisateurs.
• « Le RGPD veut dire du consentement pour tout. » Le consentement est l'une des six bases légales, et souvent pas la bonne.
• « Une bannière de témoins nous rend conformes. » Les témoins ne sont qu'une petite partie. La collecte, la sécurité, les droits et la conservation comptent davantage.
• « Notre hébergeur est conforme au RGPD, donc nous le sommes. » Les fournisseurs aident, mais c'est vous qui décidez ce que votre app recueille et fait.
• Recueillir « au cas où ». Chaque champ supplémentaire est une chose de plus à protéger, à expliquer et à supprimer.
• Copier la politique de confidentialité d'un autre site. Elle doit décrire ce que votre app fait réellement.
• Rendre la suppression impossible. Si personne ne peut supprimer un utilisateur sans un développeur, les demandes liées aux droits deviennent des urgences.

Quoi demander à votre créateur d'apps IA

• « Liste chaque donnée personnelle que cette app recueille, où elle est stockée et pourquoi elle est nécessaire. »
• « Retire les champs de formulaire que nous n'utilisons pas. »
• « Ajoute une page de compte où les utilisateurs peuvent consulter, modifier et télécharger leurs données, et demander la suppression. »
• « Construis une action d'administration qui supprime complètement un utilisateur et ses enregistrements liés, ou anonymise les enregistrements que nous devons conserver. »
• « Garde l'inscription au marketing comme case distincte, non cochée. »
• « Ne charge pas les scripts d'analyse ou de marketing avant le consentement. »
• « Liste chaque service tiers qui reçoit des données d'utilisateurs, pour que je puisse les ajouter à la politique de confidentialité. »
• « Restreins les exportations d'administration au rôle de propriétaire et journalise qui a exporté quoi. »

Lisez ensuite comment rédiger des conditions d'utilisation et une politique de confidentialité et comment ajouter un consentement aux témoins.

Le RGPD et Mythex

Mythex vous fournit les éléments de base, pas un certificat de conformité. Les données de votre app vivent dans la propre base de données et le stockage de fichiers du projet lorsque vous les activez; vous possédez le code, et avec Pro vous pouvez exporter le projet si vous devez le déplacer. Ce que votre app recueille, combien de temps elle le conserve et comment les gens exercent leurs droits sont des décisions que vous prenez — et que vous demandez à l'agent de construire. La page de documentation sur la propriété des données explique ce que Mythex héberge, et la sécurité des apps que vous construisez met en garde contre la prétention de conformité qu'on n'a pas. Si vous avez besoin de précisions, par exemple l'emplacement d'hébergement des données ou un contrat de traitement des données, demandez au soutien de Mythex avant le lancement.

Questions