Les politiques de confidentialité sont des documents complexes qui requièrent de nombreux détails spécifiques à chaque entreprise, site web ou application mobile.
Mais il arrive que les entreprises omettent accidentellement des détails vitaux, oublient une clause essentielle, recourent à des solutions de contournement imparfaites ou commettent d'autres erreurs susceptibles d'entraîner des problèmes au regard de la législation sur la protection de la vie privée.
Ci-dessous, je présente neuf problèmes courants en matière de politique de protection de la vie privée et je donne des conseils pour les éviter.
- Passer trop peu de temps à se préparer
- Ne jamais mettre à jour sa politique de confidentialité
- Déclarations erronées sur les activités de traitement des données
- Mauvaise compréhension des lois applicables à votre entreprise
- Utiliser un langage compliqué
- Ne pas procéder à un examen minutieux
- Ne pas obtenir un consentement clair de la part des utilisateurs
- Mal placé sur votre site ou votre application
- Utilisation d'un générateur ou d'un modèle non fiable
- Résumé
Passer trop peu de temps à se préparer
Lors de l'élaboration d'une politique de protection de la vie privée, essayez de ne pas vous précipiter dans la phase de rédaction et de préparation.
Ne vous méprenez pas, je comprends pourquoi les chefs d'entreprise agissent parfois de la sorte - nous voulons tous que le processus de création des documents juridiques nécessaires soit rapide, facile et sans douleur.
Mais si vous ne consacrez pas suffisamment de temps à la recherche et à la rédaction de votre politique de protection de la vie privée, vous risquez d'être confronté à des problèmes qui pourraient revenir vous hanter plus tard. Cette douleur pourrait se manifester sous la forme d'amendes légales massives et de réactions négatives de la part de vos consommateurs.
Même si vous envisagez de faire appel à un avocat ou à une solution gérée complète, telle que la nôtre, il y a encore plusieurs choses que vous devez préparer en tant que propriétaire d'entreprise. Générateur de politique de confidentialitéil y a encore plusieurs choses que vous, en tant que propriétaire d'entreprise, devez préparer.
Plus précisément, vous devez déterminer
- Quelles sont les lois sur la confidentialité des données qui s'appliquent à votre entreprise ?
- Quelles sont les données personnelles que votre site web, votre application ou votre plateforme recueille auprès des utilisateurs ?
- Pourquoi recueillez-vous les données et comment les utilisez-vous ?
- Comment stockerez-vous les données pour les conserver en toute sécurité ?
- Partagez-vous les données avec des tiers (et respectent-ils les mêmes règles de confidentialité que votre entreprise) ?
Une fois que vous aurez répondu à ces questions, il vous sera plus facile d'utiliser un site Générateur de politique de confidentialité, de consulter un avocat ou même de rédiger votre propre politique en matière de protection de la vie privée.
Ne jamais mettre à jour sa politique de confidentialité
Un autre problème lié à la politique de confidentialité que vous devez éviter est de négliger de la mettre à jour ou de la modifier après l'avoir publiée sur votre site web ou votre application.
Les politiques de confidentialité sont des documents évolutifs qui doivent refléter avec précision vos activités actuelles de collecte et de traitement des données. Dans le cas contraire, elle enfreint directement les lois sur la protection de la vie privée et vous risquez de prendre du retard à mesure que de nouvelles lois entreront en vigueur.
La loi californienne sur la protection de la vie privée des consommateurs(CCPA) oblige les entreprises à mettre à jour leur politique de protection de la vie privée au moins une fois tous les douze mois.
D'autres lois, y compris le règlement général sur la protection des données (GDPR), vous rendent financièrement responsable si les données de votre police sont inexactes ou ne correspondent pas à la réalité.
Lorsque nous avons demandé à l'avocat Anthony E. Saurini, Esq, CIPP/U.S., spécialisé dans la protection des données personnelles, quelles étaient les principales erreurs que les entreprises devaient éviter lors de l'élaboration d'une politique de protection de la vie privée, il a souligné l'importance d'élaborer une politique qui puisse s'adapter à l'avenir.
Selon M. Saurini, "la plus grande erreur que les chefs d'entreprise doivent éviter lorsqu'ils élaborent une politique mondiale de protection de la vie privée est de ne pas anticiper pleinement leurs futurs besoins en matière de réglementation".
"Dans toutes les régions du monde, les organismes de réglementation ont commencé à considérer les données personnelles d'un individu comme un actif appartenant à cet individu. Rien qu'aux États-Unis, une multitude d'États ont récemment adopté une législation sur la confidentialité des données"
Il ajoute : "Les chefs d'entreprise s'adaptent déjà à cette nouvelle ère de minimisation des données et de protection de la vie privée dès la conception, qui se déploie dans le monde entier, en investissant dès aujourd'hui dans leurs futurs besoins de conformité en matière de protection de la vie privée."
Prendre le temps aujourd'hui d'établir un processus de mise à jour de votre politique de protection de la vie privée peut aider votre entreprise à suivre le rythme rapide de la législation sur la protection de la vie privée.
Déclarations erronées sur les activités de traitement des données
Lorsque vous élaborez une politique de protection de la vie privée pour votre entreprise, évitez de vous tromper ou d'être malhonnête au sujet de vos activités de traitement des données. À mon avis, c'est l'une des pires erreurs que vous puissiez commettre.
Lorsque nous avons demandé à Nadine Talaat, avocate et experte en protection des données, CIPP/U.S., CIPP/E, quelles étaient les principales erreurs que les chefs d'entreprise devaient éviter lors de l'élaboration de leur politique de protection de la vie privée, elle s'est montrée d'accord et a immédiatement mentionné les fausses déclarations concernant les pratiques en matière de protection de la vie privée.
Selon Talaat, "la principale erreur que les propriétaires d'entreprise doivent éviter lorsqu'ils créent une politique de confidentialité pour leur site web ou leur application est d'aligner leur programme de confidentialité sur leur politique de confidentialité et d'articuler les données collectées."
Talaat ajoute : "La politique de protection de la vie privée doit coïncider avec le programme de protection de la vie privée de l'entreprise. Cette étape importante permet à la fois d'assurer la conformité de l'entreprise et le respect des droits de l'utilisateur en matière de protection de la vie privée. Il faut comprendre quelles données sont collectées et traitées, et leur finalité doit être claire".
Les régulateurs et les organismes chargés de faire appliquer la loi recherchent les incongruités entre les actions d'une entreprise et ce que dit sa politique de protection de la vie privée, en particulier si les consommateurs déposent des plaintes.
Un exemple de cette situation s'est produit en 2021 à Meta, lorsque la Commission irlandaise de protection des données a infligé à WhatsApp une amende de 225 millions d'euros (247 millions de dollars) pour avoir utilisé une politique de confidentialité peu claire et non transparente concernant l'utilisation des données des utilisateurs, ce qui n'est même pas l'amende la plus importante jamais infligée au GDPR .
"Les propriétaires d'entreprises doivent être transparents sur les données personnelles qu'ils collectent, y compris sur les données que des tiers collectent par le biais de leur site web ou de leur application. "Pour ce faire, ils doivent connaître les réglementations applicables en matière de protection de la vie privée sur leur marché géographique, qu'il s'agisse des États-Unis ou du reste du monde", ajoute M. Talaat.
Elle ajoute : "Bien que les États-Unis ne disposent pas d'une réglementation fédérale globale en matière de confidentialité des données, il existe des réglementations en vigueur dans plusieurs États, notamment la CPRA de Californie et la VCDPA de Virginie."
"Comprendre les réglementations applicables et les mettre en œuvre correctement renforcera la confiance de l'utilisateur. D'une manière générale, les chefs d'entreprise doivent être bien informés et mettre en œuvre les mesures de protection appropriées pour assurer le respect de la vie privée."
Instaurer la confiance des consommateurs est essentiel pour les entreprises qui opèrent en ligne aujourd'hui - il suffit de regarder ces statistiques alarmantes sur la confidentialité des données:
- 1 utilisateur sur 5 lit toujours ou souvent la politique de confidentialité d'une entreprise avant de l'accepter.(Pew Research Center)
- 48 % des utilisateurs ont cessé d'acheter auprès d'une entreprise en raison de préoccupations liées à la protection de la vie privée. (Tableau)
- 33% des utilisateurs ont mis fin à leurs relations avec des entreprises à cause des données.(Cisco)
Veillez à ce que votre politique de confidentialité reflète fidèlement la manière dont vous recueillez et utilisez les données à caractère personnel, et évitez de la calquer sur celle d'un concurrent ou de la copier-coller à partir d'un autre site web. Sinon, vous risquez de payer littéralement pour vos erreurs.
Mauvaise compréhension des lois applicables à votre entreprise
Il est essentiel que vous ne vous mépreniez pas sur les lois relatives à la protection de la vie privée qui s'appliquent à votre entreprise et qui ont une incidence sur votre politique de protection de la vie privée. Vous êtes entièrement responsable du respect de ces réglementations.
La plupart des lois sur la confidentialité des données ont un champ d'application large et affectent les entreprises en dehors des régions où la législation est en vigueur. En d'autres termes, les entreprises qui ne sont pas situées en Europe relèvent toujours du GDPR, tout comme les entités situées en dehors de la Californie peuvent relever de la juridiction du CCPA.
Pour déterminer la législation sur la protection des données qui concerne votre entreprise, il peut être utile de répondre aux questions suivantes :
- Quelle est votre juridiction ?
- Où se trouvent vos clients ?
- Dans quel(s) secteur(s) travaillez-vous ?
- Existe-t-il des lois spécifiques à votre secteur d'activité auxquelles vous devez vous conformer ?
Ci-dessous, j'ai inclus le seuil légal de 12 des lois les plus importantes en matière de protection de la vie privée dans le monde, ainsi que des détails sur les sanctions encourues en cas de violation de ces lois.
Lisez-les attentivement et prenez note de celles qui s'appliquent à vous.
| Loi sur la protection des données | Seuil légal | Sanctions en cas de violation de la loi |
| Règlement général sur la protection des données (GDPR) | Toute organisation qui collecte, traite ou stocke les données personnelles de personnes situées dans l'Union européenne (UE) ou l'Espace économique européen (EEE). |
|
| La loi sur la protection des données( GDPR | Toute organisation offrant des biens ou des services aux citoyens britanniques et traitant leurs données personnelles. |
|
| Loi californienne modifiée sur les droits des consommateurs en matière de protection de la vie privée(CCPA/CPRA) | Les entités à but lucratif qui exercent leurs activités en Californie et qui répondent à l'un des critères suivants :
|
|
| Loi californienne sur la protection de la vie privée en ligne(CalOPPA) | Tout site web ayant des visiteurs en Californie tombe sous le coup de cette loi. |
|
| Loi de Virginie sur la protection des données des consommateurs(VCDPA) | Entités exerçant des activités en Virginie ou ciblant les résidents de la Virginie qui répondent à l'une des conditions suivantes :
|
|
| Loi sur la protection des données du Connecticut(CTDPA) | Tout contrôleur ou processeur de données qui exerce des activités dans le Connecticut ou qui produit des produits ou des services destinés aux consommateurs du Connecticut. et tout responsable du traitement ou sous-traitant qui remplit une ou plusieurs des conditions suivantes :
|
|
| Loi du Colorado sur la protection de la vie privée(CPA) | Les responsables du traitement qui exercent une activité au Colorado ou qui produisent ou livrent des produits commerciaux destinés intentionnellement aux résidents du Colorado et qui répondent à l'une des conditions suivantes (ou aux deux) :
|
|
| Loi sur la protection de la vie privée des enfants en ligne(COPPA) | Tout site web ou service en ligne destiné aux enfants de moins de 13 ans qui :
|
|
| Loi sur la protection des renseignements personnels et les documents électroniques(LPRPDE) | Toute organisation qui recueille et utilise des informations personnelles dans le cadre d'activités commerciales, y compris la vente ou le partage de listes de donateurs, de membres ou de collecte de fonds, relève de la LPRPDE. |
|
| Loi australienne de 1988 sur la protection de la vie privée | Toute entité ou organisation gouvernementale australienne dont le revenu brut annuel est supérieur à 3 millions de dollars. et les petites entreprises dont le chiffre d'affaires est inférieur à 3 millions de dollars et qui répondent à l'un des critères suivants :
|
|
| Loi néo-zélandaise de 2020 sur la protection de la vie privée | Toute personne, organisation ou entreprise du secteur public ou privé qui recueille et détient des informations personnelles sur d'autres personnes. |
|
| Loi sud-africaine sur la protection des informations personnelles(PoPIA) | Toute entité enregistrée en Afrique du Sud qui traite des données personnelles ou des personnes à partir de n'importe quel endroit.
Et toutes les entités situées en dehors du pays qui externalisent le traitement de leurs données en Afrique du Sud. |
|
Utiliser un langage compliqué
En ce qui concerne le contenu de votre politique de protection de la vie privée, évitez d'utiliser du jargon inutile ou du jargon juridique. Ces mots et expressions couramment utilisés par les avocats ne sont généralement pas compréhensibles ou accessibles au lecteur moyen.
Certaines législations, dont le GDPR, stipulent que les entités dont les politiques de confidentialité ne sont pas rédigées en langage clair violent la loi. Cette exigence garantit la transparence afin que chacun puisse lire et comprendre ce qu'il advient de ses informations personnelles et de ses droits sur ces données.
De même, vous devez éviter de rédiger des textes volumineux avec des phrases à rallonge alambiquées.
Gardez votre public à l'esprit lorsque vous élaborez votre politique de confidentialité et mettez en œuvre des techniques de mise en forme faciles à lire en utilisant des tableaux, des diagrammes, des graphiques et des listes à puces.
Ne pas procéder à un examen minutieux
Un autre problème courant en matière de politique de protection de la vie privée que vous devez éviter est de négliger de réviser soigneusement votre politique avant de la publier, même si vous utilisez un modèle ou un générateur de bonne réputation.
Vous vous souvenez de l'école où votre professeur vous rappelait de vérifier votre travail ? Cette logique s'applique également à votre politique de protection de la vie privée.
Veillez à le lire attentivement et à vérifier qu'il ne contient pas d'erreurs, d'incohérences ou d'éléments que vous auriez pu omettre ou laisser de côté. Vous devez également vérifier qu'il n'y a pas de problèmes de grammaire et qu'il est lisible.
Ne pas obtenir un consentement clair de la part des utilisateurs
En fonction des lois sur la protection de la vie privée auxquelles vous êtes soumis, vous devrez peut-être obtenir le consentement explicite et explicite des utilisateurs avant de collecter des données. Cette exigence est notamment prévue par le GDPR si le consentement est l'une de vos bases légales pour le traitement des informations personnelles.
Si vous vous trouvez dans cette situation, assurez-vous de présenter à tous les utilisateurs qui accèdent à votre site web ou à votre application un lien direct vers la version la plus récente de votre politique de confidentialité et demandez-leur de prendre une mesure quelconque pour indiquer qu'ils ont lu et accepté les conditions que vous décrivez.
Je recommande généralement d'utiliser une case à cocher - assurez-vous simplement qu'elle n'est pas cochée, car les cases à cocher pré-cochées ne sont pas GDPR
Mal placé sur votre site ou votre application
Un autre problème courant que vous voulez éviter avec votre politique de confidentialité est de l'égarer sur votre site web ou votre application ou d'oublier de l'afficher aux endroits nécessaires.
Vous devez toujours prévoir d'afficher votre politique à plusieurs endroits, mais les emplacements précis dépendent des lois qui s'appliquent à votre entreprise.
Par exemple, en vertu de la CCPA, vous devez présenter à vos utilisateurs un avis avant ou au moment de la collecte. Si vous stockez des informations personnelles au cours de la procédure de paiement, vous devez fournir un lien vers votre politique sur votre page de paiement.
De même, si vous recueillez des données personnelles auprès des utilisateurs lorsqu'ils se connectent ou créent un nouveau profil sur votre plateforme, vous devrez également insérer un lien vers votre politique de confidentialité.
Voici une liste des endroits les plus courants où inclure un lien vers votre politique de confidentialité :
- Le pied de page de votre site web
- Un menu statique dans votre application
- Écrans de paiement ou pages de caisse
- Pages de création d'un nouveau compte utilisateur
- Dans vos courriels de marketing
- Formulaires de soumission de contenu - si vous permettez aux utilisateurs de publier leurs créations
- Sur tous les formulaires qui recueillent des informations personnelles auprès des utilisateurs
Utilisation d'un générateur ou d'un modèle non fiable
Il existe sur l'internet un grand nombre d'excellentes ressources en matière de respect de la vie privée qui peuvent vous aider à élaborer une politique de protection de la vie privée pour votre entreprise. Mais cela signifie qu'il existe également un nombre équivalent d'options moins bonnes qui prétendent être conformes mais qui, en réalité, ne le sont pas.
Soyez donc très prudent lorsque vous téléchargez un site modèle de politique de confidentialité gratuit ou que vous essayez un générateur de polices d'assurance, et soyez attentif à ces signaux d'alerte:
- 🚩 Ils ne posent pas de questions sur les données spécifiques que vous collectez : Il s'agit d'un signal d'alarme, car chaque entreprise recueille des informations différentes pour des raisons différentes. Si elles ne vous demandent pas ces détails, il n'y a aucune chance que la politique de confidentialité reflète avec précision les informations que vous traitez.
- 🚩 Il n'y a pas de questions sur l'origine de vos utilisateurs : Savoir où se trouvent vos utilisateurs permet de déterminer si votre entreprise est soumise à certaines lois sur la confidentialité des données. Si un générateur ne vous demande pas cette information, il est probable qu'il passera à côté des lois nécessaires que vous pourriez avoir à suivre.
- 🚩 Vous ne pouvez pas consulter la politique avant d'avoir payé : Si quelqu'un essaie de vous faire payer avant que vous puissiez examiner la politique de confidentialité générée, il s'agit d'un signal d'alarme majeur. Vous ne voulez pas dépenser plus de 200 $ sans pouvoir examiner et approuver la politique au préalable. Je vous conseille vivement d'éviter les sites web qui vous imposent cela.
- Il n'y a pas beaucoup de questions auxquelles vous devez répondre : Si un générateur ou un modèle semble très court, c'est peut-être parce qu'il manque des clauses et des éléments essentiels pour parvenir à une conformité juridique totale. Méfiez-vous des politiques très courtes, car elles sont probablement incomplètes.
- 🚩 Ils ne posent pas de questions sur votre utilisation des cookies Internet : Les cookies Internet sont considérés comme des informations personnelles, et de nombreuses lois sur la confidentialité des données exigent que vous permettiez aux utilisateurs de refuser des choses telles que la publicité ciblée, souvent réalisée en plaçant des cookies Internet sur les navigateurs de vos utilisateurs. Si un modèle ou un générateur ne contient rien sur les cookies, il est probablement incomplet.
Résumé
En évitant les neuf problèmes courants liés à la politique de confidentialité que j'ai abordés dans ce guide, vous préparez votre site web ou votre application à une mise en conformité réussie et sans problème en matière de confidentialité des données.
Vous montrez également aux consommateurs qu'ils peuvent vous confier leurs informations personnelles.
Cela vaut la peine de faire un effort supplémentaire pour éviter les amendes élevées et les réactions négatives du public à l'avenir.
Vous pouvez faciliter la tâche de votre entreprise en utilisant Termly's Générateur de politique de confidentialité pour personnaliser un accord qui répond parfaitement à vos besoins en matière de respect de la vie privée.
AVERTISSEMENT : Toutes les informations, le contenu, les documents et les citations présentés dans cet article sont fournis à titre d'information générale uniquement et ne constituent pas, et ne sont pas censés constituer, un avis juridique. Les informations contenues dans cette page peuvent ne pas constituer les informations juridiques ou autres les plus récentes.
En savoir plus sur l'auteur
Écrit par Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha est spécialiste en sécurité de l'information et en protection des données, ainsi que déléguée à la protection des données certifiée. Depuis six ans, elle aide les petites et moyennes entreprises à se conformer aux réglementations et accompagne de nombreux accélérateurs internationaux en tant que mentor en conformité. Elle est spécialisée dans la mise en œuvre, le suivi et l’audit de la conformité des entreprises aux réglementations sur la protection des données (HIPAA, LPRDE, Directive ePrivacy, RGPD, CCPA, POPIA, LGPD). Masha a étudié le droit à l’Université de Belgrade et a obtenu son examen du barreau en 2016. En savoir plus sur l'auteur
