Qu'est-ce qui doit figurer dans une déclaration de confidentialité ?

Les éléments permanents d'une déclaration de confidentialité

Une déclaration de confidentialité mentionne dans la plupart des cas qui traite les données, pourquoi, et quels droits la personne concernée possède à ce sujet. Concrètement, il s'agit de l'identité et des coordonnées de l'organisation qui traite les données, ainsi que des coordonnées d'un délégué à la protection des données s'il a été désigné. En outre, elle indique à quelles fins les données sont utilisées et sur quelle base juridique cela se fait — pensez à l'exécution d'un contrat, une obligation légale, ou un intérêt légitime, ce dernier intérêt devant également être nommé.

De plus, la déclaration doit indiquer à qui les données sont communiquées, si elles sont transférées vers un pays en dehors de l'UE, et pendant combien de temps elles sont conservées — ou, si un délai fixe ne peut pas être donné, quels critères sont utilisés à cette fin. Les droits de la personne concernée sont également énumérés : accès, rectification, suppression, limitation, opposition, portabilité, et la possibilité de retirer un consentement donné. Enfin, la déclaration mentionne le droit de déposer une plainte auprès de l'autorité de contrôle, et — si applicable — si la fourniture de données constitue une obligation légale ou contractuelle et quelles en sont les conséquences si quelqu'un ne s'y conforme pas, ainsi que s'il existe une prise de décision automatisée ou un profilage.

Ceci est stipulé à l'article 13 du RGPD

Cette énumération découle directement de l'article 13 du RGPD, qui prescrit les informations qu'une organisation fournit au moment où elle collecte des données personnelles auprès de la personne concernée elle-même. Le RGPD est un règlement et ces exigences s'appliquent donc de manière substantielle de la même façon dans chaque État membre ; ce qui varie, c'est auprès de quelle autorité de contrôle le droit de plainte mentionné est exercé dans la pratique — aux Pays-Bas auprès de l'Autorité néerlandaise pour la protection des données, en Allemagne auprès de l'autorité de contrôle du Land où se trouve l'établissement. Pour le texte complet de la disposition et pour un complément d'information, le règlement lui-même peut être consulté, et pour la pratique néerlandaise, le site web de l'Autorité néerlandaise pour la protection des données.