Une bonne politique de confidentialité est bien plus qu’un texte standard en bas d’un site web. Elle doit indiquer clairement quelles données à caractère personnel une organisation traite, pourquoi cela se fait et quels droits ont les clients, les travailleurs, les candidats, les fournisseurs et les autres personnes concernées. En droit belge, le GDPR constitue le cadre principal, complété par la législation belge en matière de protection des données.
Que doit clarifier une politique de confidentialité ?
Une politique de confidentialité correcte doit expliquer, dans un langage compréhensible, quelles données à caractère personnel sont collectées, à quelles fins elles sont utilisées et sur quel fondement juridique le traitement repose. Il doit en outre être clair combien de temps les données sont conservées, à qui elles sont éventuellement transmises et si des données sont traitées en dehors de l’Espace économique européen. L’identité et les coordonnées du responsable du traitement doivent également être mentionnées. Si un délégué à la protection des données a été désigné, ses coordonnées doivent également être disponibles.
Quels droits ont les personnes concernées ?
Le GDPR confère aux personnes concernées différents droits. Une politique de confidentialité doit les en informer clairement. Selon la situation, il s’agit notamment du droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition.
Lorsque le traitement est fondé sur le consentement, il doit également être expliqué que ce consentement peut à nouveau être retiré. Il doit en outre être mentionné que les personnes concernées peuvent introduire une réclamation auprès de l’Autorité de protection des données.
Combien de temps les données à caractère personnel peuvent-elles être conservées ?
Les données à caractère personnel ne peuvent pas être conservées indéfiniment. Une organisation doit dès lors indiquer dans sa politique de confidentialité quelles durées de conservation s’appliquent, ou à tout le moins selon quels critères ces durées sont déterminées. Ces durées doivent correspondre à la finalité pour laquelle les données sont traitées, aux obligations légales et aux besoins réels de l’organisation.
La politique de confidentialité doit correspondre à la pratique
Un texte peut paraître juridiquement correct, mais cela ne suffit pas. La politique de confidentialité doit correspondre au traitement réel des données au sein de l’organisation. Ce qui est communiqué à l’extérieur doit coïncider avec les processus internes, les durées de conservation, les mesures de sécurité et les procédures. C’est pourquoi la politique doit également s’aligner sur la compliance interne et, le cas échéant, sur un DPA ou un contrat de sous-traitance.
Une attention particulière pour certaines organisations
Une commune, hôpital ou organisation au sein des pouvoirs publics traite souvent de grandes quantités de données à caractère personnel ou de données sensibles. Cela peut entraîner des obligations supplémentaires, telles que la désignation d’un délégué à la protection des données, des mesures de sécurité plus strictes ou une analyse d’impact relative à la protection des données pour les traitements à haut risque. En particulier s’agissant de données de santé, d’un traitement à grande échelle ou d’un service public, une déclaration de confidentialité standard est dès lors souvent insuffisante.
Une bonne politique de confidentialité limite les risques juridiques
Une politique de confidentialité correcte aide les organisations non seulement à respecter leur obligation d’information. Elle rend également clairs les choix effectués en interne et réduit le risque de plaintes, de discussions et de sanctions. L’essentiel demeure que la politique soit non seulement rédigée de manière juridiquement correcte, mais qu’elle corresponde aussi à ce que l’organisation fait réellement des données à caractère personnel.
