Qu'est-ce que le RGPD ? Guide simple pour les créateurs d'applis

Le RGPD (Règlement général sur la protection des données) est la principale loi de l'Union européenne sur la protection des données. Il fixe les règles de collecte, d'utilisation, de stockage et de partage des données personnelles — toute information concernant une personne physique vivante et identifiable — et donne aux personnes des droits sur leurs propres données, comme celui d'y accéder ou de les faire effacer. Il s'applique depuis le 25 mai 2018, et il peut concerner des entreprises situées hors de l'UE si elles servent des personnes qui s'y trouvent.

Ceci n'est pas un avis juridique. Ce guide est une explication générale pour vous aider à comprendre les bases et à poser de meilleures questions. Il ne remplace pas un conseil sur votre situation. Pour des précisions faisant autorité, voir les pages sur la protection des données de la Commission européenne et le guide du Comité européen de la protection des données pour les petites entreprises.

Pourquoi c'est important quand on construit avec l'IA

Les créateurs d'applis par IA rendent la collecte de données très facile. Un seul prompt vous donne un formulaire d'inscription, un formulaire de contact, des statistiques, des téléversements de fichiers et un tableau de bord d'administration listant chaque utilisateur. Chacun de ces éléments collecte des données personnelles, et le RGPD s'intéresse à toutes.

La bonne nouvelle, c'est que la plupart des exigences du RGPD sont aussi de bonnes pratiques produit :

• Ne collecter que ce dont vous avez réellement besoin.
• Dire aux gens ce que vous en faites.
• Les protéger.
• Les supprimer quand vous n'en avez plus besoin.
• Permettre aux personnes de voir, corriger ou retirer leurs données.

Ces principes sont bien plus faciles à intégrer dès le départ qu'à rajouter après le lancement. Poser les bonnes questions à votre créateur d'applis dès le début évite une refonte pénible plus tard.

Une analogie du quotidien

Pensez aux données personnelles comme aux affaires que les gens vous confient — comme un vestiaire, mais pour l'information. Le RGPD est le règlement intérieur de ce vestiaire :

• Ne prendre que ce que la personne a accepté de laisser, pour une raison qu'elle comprend.
• Ne pas fouiller dans les poches pour d'autres usages.
• Garder la pièce fermée à clé.
• Rendre les affaires, ou les jeter, sur demande ou quand vous n'en avez plus besoin.
• Si quelque chose est volé, prévenir rapidement les bonnes personnes.

Vous êtes responsable des manteaux tant qu'ils sont sous votre garde, même si vous avez confié la gestion du vestiaire à quelqu'un d'autre.

Les idées essentielles

Ce qui est une donnée personnelle

La Commission européenne définit les données personnelles comme toute information qui se rapporte à une personne physique vivante identifiée ou identifiable. C'est large. Cela inclut les noms, adresses e-mail, adresses postales, adresses IP, identifiants de cookies et photos. Des données « pseudonymisées » — par exemple des noms remplacés par des codes — peuvent rester des données personnelles si elles peuvent être reliées à une personne.

Certaines catégories bénéficient d'une protection renforcée, notamment les données de santé, les données biométriques, l'origine raciale ou ethnique et les opinions politiques.

À qui il s'applique

Selon la Commission, le RGPD s'applique aux organisations établies dans l'UE, et aux organisations situées hors de l'UE qui proposent des biens ou des services à des personnes dans l'UE (payants ou gratuits) ou qui surveillent leur comportement. Une start-up américaine ou émiratie ayant des clients européens peut très bien être concernée. Le Royaume-Uni a sa propre version, le RGPD britannique, très proche du texte européen.

Les principes

Le RGPD repose sur une courte liste de principes. En termes simples :

Les bases légales

Vous avez besoin d'une raison légale — une « base légale » — pour chaque usage de données personnelles. Le RGPD en liste six : le consentement, l'exécution d'un contrat, l'obligation légale, la sauvegarde des intérêts vitaux, la mission d'intérêt public et les intérêts légitimes. Le consentement n'est qu'une de ces bases. Traiter une commande pour la livrer relève par exemple en général du contrat, et non du consentement. Quelle base convient relève d'une appréciation à vérifier auprès des lignes directrices officielles.

Les droits des personnes

La Commission énumère les droits suivants pour les personnes :

• Être informée de l'usage de ses données
• Accéder à ses données
• Les faire rectifier
• Les faire effacer
• Limiter le traitement
• La portabilité des données (les obtenir dans un format exploitable)
• S'opposer au traitement
• Les droits liés aux décisions automatisées et au profilage

Les violations de données

Si des données personnelles fuient et que la violation risque de porter atteinte aux droits et libertés des personnes, l'organisation doit en général notifier son autorité de protection des données dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Dans certains cas, les personnes concernées doivent aussi être prévenues.

Un exemple concret : une appli de réservation pour un studio de yoga

Imaginons que vous construisez une appli de réservation pour un studio de yoga dont les clients sont en Allemagne. Voici comment le RGPD façonne l'appli.

Collecter moins. Le formulaire d'inscription demande le nom, l'e-mail et un numéro de téléphone facultatif. La première version demandait aussi la date de naissance et l'adresse personnelle — rien dans l'appli ne les utilise, donc ils sont retirés.

Les données de santé demandent de la prudence. Le studio voudrait demander les blessures. Ce sont des données de santé, une catégorie particulière soumise à des règles plus strictes. Le studio décide de traiter cela en personne, pour que l'appli ne les collecte pas.

Être transparent. Une politique de confidentialité explique ce qui est collecté, pourquoi, combien de temps c'est conservé, qui d'autre traite les données (l'hébergeur, le service d'e-mail, le prestataire de paiement) et comment contacter le studio.

Le marketing est séparé. Réserver un cours n'inscrit personne à la lettre d'information. Il existe une case distincte, non cochée, pour cela.

Les droits dans le produit. Les clients peuvent consulter et modifier leur profil, télécharger leur historique de réservations et demander la suppression depuis leur page de compte.

Conservation. Les comptes inactifs sont signalés après une durée définie, puis supprimés si le client ne répond pas. Le studio choisit la durée.

Cookies. Le cookie de connexion est nécessaire. L'outil d'analyse ne se charge qu'après l'acceptation du visiteur. Voir qu'est-ce qu'un cookie.

Sécurité. Les mots de passe sont hachés, la zone d'administration exige une authentification à deux facteurs, et seul le propriétaire peut exporter les listes de clients.

Termes courants expliqués

Erreurs courantes et idées reçues

• « Nous ne sommes pas dans l'UE, donc cela ne s'applique pas. » Cela peut s'appliquer selon l'endroit où se trouvent vos utilisateurs.
• « Le RGPD impose le consentement pour tout. » Le consentement est l'une des six bases légales, et souvent pas la bonne.
• « Une bannière de cookies suffit à nous rendre conformes. » Les cookies ne sont qu'une petite partie du sujet. La collecte des données, la sécurité, les droits et la conservation comptent davantage.
• « Notre hébergeur est conforme au RGPD, donc nous le sommes. » Les prestataires aident, mais c'est vous qui décidez de ce que votre appli collecte et en fait.
• Collecter « au cas où ». Chaque champ en plus est une donnée de plus à protéger, à expliquer et à supprimer.
• Copier la politique de confidentialité d'un autre site. Elle doit décrire ce que votre appli fait réellement.
• Rendre la suppression impossible. Si personne ne peut supprimer un utilisateur sans un développeur, les demandes de droits deviennent des urgences.

Quoi demander à votre créateur d'applis par IA

• « Liste chaque donnée personnelle que cette appli collecte, où elle est stockée et pourquoi elle est nécessaire. »
• « Retire les champs de formulaire que nous n'utilisons pas. »
• « Ajoute une page de compte où les utilisateurs peuvent consulter, modifier et télécharger leurs données, et demander la suppression. »
• « Crée une action d'administration qui supprime entièrement un utilisateur et ses enregistrements liés, ou anonymise les enregistrements que nous devons conserver. »
• « Garde l'inscription au marketing sous forme de case distincte, non cochée. »
• « Ne charge pas les scripts d'analyse ou de marketing avant le consentement. »
• « Liste chaque service tiers qui reçoit des données utilisateurs, pour que je les ajoute à la politique de confidentialité. »
• « Réserve les exports d'administration au rôle propriétaire et journalise qui a exporté quoi. »

Lisez ensuite comment rédiger des conditions d'utilisation et une politique de confidentialité et comment ajouter un consentement aux cookies.

Le RGPD et Mythex

Mythex vous fournit les briques de base, pas un certificat de conformité. Les données de votre appli vivent dans la base de données propre au projet et dans le stockage de fichiers, lorsque vous les activez ; vous possédez le code, et avec Pro vous pouvez exporter le projet si vous devez le déplacer. Ce que votre appli collecte, combien de temps elle le conserve et comment les personnes exercent leurs droits sont des décisions que vous prenez — et que vous demandez à l'agent de construire. La page de la documentation sur la propriété des données explique ce que Mythex héberge, et la sécurité des applis que vous créez met en garde contre la revendication d'une conformité qui n'existe pas. Si vous avez besoin de précisions, comme l'emplacement des données ou un accord de traitement des données, demandez au support Mythex avant le lancement.

Questions