Politique de confidentialité
La loi définit une donnée personnelle comme toute donnée qui permet d'identifier une personne physique (directement ou indirectement). Seules les données concernant les personnes physiques sont considérées comme des données personnelles (ce qui exclut
les données sur les entreprises).
Exemples : le nom, le prénom, un numéro identifiant client, un numéro de téléphone, une adresse email, une adresse postale, une adresse
IP, une photo, un enregistrement vocal...
Le traitement des données personnelles des clients est autorisé dès lors qu'il repose sur l'une des bases légales suivantes :
- Le client a donné son consentement au traitement de ses données pour une ou plusieurs finalités clairement déterminées ;
- Le traitement est nécessaire à l'exécution du contrat du client (exemple : le recueil de son adresse nécessaire à la livraison) ;
- Le traitement est nécessaire au respect d'une obligation légale de l'entreprise (par exemple une obligation fiscale) ;
- Le traitement est nécessaire à la sauvegarde des intérêts vitaux du client ;
- Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investie l'entreprise ;
- Le traitement est nécessaire aux fins des intérêts légitimes
poursuivis par l'entreprise (notamment la prévention contre la fraude).
Cet intérêt légitime doit être clairement indiqué et ne doit pas
s'opposer aux intérêts ou aux libertés et droits fondamentaux du client.
En pratique, l'utilisation des données d'un client reposera
généralement sur l'une des deux premières bases légales évoquées
ci-dessus : soit pour la bonne exécution de son contrat, soit en
recueillant directement son consentement au moment de sa commande.
L'entreprise devra alors également appliquer un principe général de finalité et de limitation (ou de " minimisation ") en fixant l'étendue et la durée
de conservation des données au strict nécessaire au regard de ses
objectifs. Cela signifie que la collecte et l'utilisation des données
doivent répondre à un but précis, clairement défini, et en rapport avec l'activité principale de l'entreprise.
Toute entreprise qui collecte, conserve et/ou utilise des données
personnelles sur ses clients (on utilise le terme générique de
"traitement des données"), est désignée légalement comme un responsable de traitement. Elle devient alors responsable de la bonne application de la réglementation sur les données personnelles, et notamment :
- une obligation de sécurité :
l'entreprise doit garantir la sécurité de ses locaux et de son système
pour empêcher que les fichiers soient volés, déformés ou endommagés ; - une obligation de confidentialité : l'entreprise doit limiter le nombre de personnes ayant accès aux données personnelles et garantir leur caractère privé ;
- une obligation d'information : l'entreprise doit s'assurer de la délivrance au client des informations relatives à l'identité du responsable des données, la finalité et la durée de leur conservation, ainsi que le caractère obligatoire ou facultatif des informations fournies. Elle doit également informer les personnes concernées sur leurs droits :
- droit d'accès, de rectification, d'opposition ou de suppression des données ;
- droit à la portabilité des données vers un autre support ou service ; et
- droit de définir des directives post-mortem.
La désignation d'un délégué à la protection des données
n'est obligatoire que pour les entreprises qui effectuent un traitement
régulier et systématique de personnes à grande échelle, ou qui traitent
à grande échelle de données sensibles ou relatives à des condamnations
pénales et infractions.