Le RGPD et le digital analytics : Les 5 choses à savoir (partie 2) | Analytics

Dans la première partie de cet article, nous avons exposé les implications du RGPD pour vos données digital analytics, notamment en ce qui concerne les données à caractère personnel et les droits des utilisateurs. Cette semaine, nous allons définir les 3 autres questions centrales que vous devez vous poser sur votre solution digital analytics afin de vous préparer au RGPD.

3. Où vos données analytics sont-elles stockées ? Sont-elles transférées en dehors de l’Union Européenne?

Si les données à caractère personnel sont transférées en dehors de l’Union Européenne, le RGPD exige que le ou les pays concernés disposent d’un niveau adéquat de protection des données, c’est-à-dire qu’ils appli­quent des mesures de protection équivalentes aux normes Européennes. L’utilisateur final doit également être averti du fait que ses données sont transférées ou stockées hors de l’Union Européenne.

Là encore, dans la mesure où les solutions digital analytics collectent et stockent des données à caractère personnel (souvent hors de l’Union Européenne), il est essentiel de demander à son fournisseur analytics où il les conserve, si elles sont transférées ailleurs et si les utilisateurs finaux sont clairement informés de ces emplacements de stockage et de transfert.

Comment le respect du RGPD est-il assuré par AT Internet ?

AT Internet traite et stocke toutes les données personnelles au sein de l’Union Européenne ; jamais elles ne sont transférées en dehors de l’UE. Ces informations sont facilement accessibles dans notre politique de confidentialité, ainsi que dans les contrats de nos clients.

4. Quel est le champ de responsabilité de votre fournisseur analytics ?

Il est crucial de vous assurer que votre fournisseur analytics (un « sous-traitant ») a clairement défini le périmètre de sa responsabilité dans votre contrat. Dans la mesure où les amendes peuvent s’élever à 20 millions d’euros ou à 4 % de votre chiffre d’affaires mondial annuel (le montant le plus élevé des deux !), mieux vaut ne pas se retrouver à devoir tout assumer parce que votre fournisseur n’a pas bien défini dans son Accord de Traitement de Données ce qui relève de sa mission (ou, pire encore, parce qu’il vous fait porter toute la responsabilité !).

En tant que responsable du traitement des données, vous êtes également tenu de choisir soigneusement un sous-traitant et de décider du type d’activités de traitement des données que vous mènerez. En d’autres termes, sélectionnez judicieusement vos fournisseurs : ils doivent être conformes au RGPD !

Comment se positionne AT Internet ?

L’Analytics Suite d’AT Internet est conforme au RGPD au même titre que le groupe AT Internet en tant qu’organisation. Par conséquent, nous nous engageons à informer nos clients avec la plus grande transparence dans notre Accord de Traitement de Données.

Nous fournirons à chacun de nos clients un Accord de Traitement de Données, qui définira précisément le périmètre de notre responsabilité en tant que sous-traitant, et de la vôtre en tant que responsable du traitement.

Si vous travaillez avec un autre fournisseur de digital analytics, nous vous recommandons vivement de vérifier les termes de votre contrat pour vous assurer que la responsabilité ne vous est pas automatiquement transférée (par le biais de limitations dans les clauses de responsabilité), et qu’il est clairement indiqué comment votre fournisseur traite et protège les données personnelles.

5. À quelles fins vos données analytics sont-elles utilisées ? Pratiquez-vous le profilage ?

Dans le cadre du RGPD, les données personnelles doivent uniquement être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ».

En d’autres termes, les données de vos visiteurs doivent exclusivement être utilisées dans le but d’atteindre le ou les objectifs dont vous les avez informés, par exemple (dans le cas de l’analytics), améliorer leur expé­rience sur votre site ou leur proposer des contenus personnalisés. Elles ne doivent PAS servir à des fins pour lesquelles ils n’ont pas donné leur consentement.

Il est également important de bien comprendre la notion de « profilage » tel que le RGPD le définit : « toute forme de traitement automatisé de données à caractère personnel […] pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant […] le comportement, la localisation ou les déplacements de cette personne physique. » Si vous utilisez les données analytics à des fins de profilage, vous avez l’obligation de réaliser une analyse d’impact relative à la protection des données afin de garantir et de démontrer votre responsabilité et conformité.