La réponse courte
Vous pouvez faire vous-même une partie du travail pour rendre votre nouveau site web ou votre nouvelle boutique en ligne conforme au RGPD : rédiger une déclaration de confidentialité, configurer correctement les cookies et vérifier quelles données vous collectez réellement. Il s'agit d'étapes qui exigent surtout de la clarté et de la discipline, pas une formation juridique. Pour une autre partie, il devient plus difficile de tout maîtriser soi-même : évaluer les contrats de traitement avec votre hébergeur, votre prestataire de paiement ou votre outil d'analyse, et déterminer si un couplage particulier entre des outils nécessite une attention supplémentaire.
La limite ne se situe donc pas entre « puis-je le faire moi-même » et « dois-je appeler un juriste », mais entre la question du nombre de tiers qui ont accès à vos données et la sensibilité de ces données. Un simple site web de brochure avec un formulaire de contact est plus facile à gérer qu'une boutique en ligne avec des comptes clients, des données de paiement et des outils marketing couplés les uns aux autres.
Ce que vous pouvez généralement gérer vous-même
La base d'une déclaration de confidentialité peut être rédigée par la plupart des entreprises elles-mêmes, surtout avec un bon point de départ. Elle indique qui vous êtes, quelles données vous collectez, pourquoi, et combien de temps vous les conservez. Ce n'est pas un travail créatif mais une question de décrire précisément votre propre pratique. Il en va de même pour la banneau de consentement pour les cookies : si vous savez quels cookies votre site place et à quoi ils servent, la mise en place du consentement est une étape technique que vous pouvez gérer vous-même ou avec votre constructeur de site.
Vous pouvez également établir vous-même un inventaire des données que vous collectez par le biais de formulaires, de comptes ou d'un processus de commande. Cet inventaire n'est d'ailleurs pas seulement utile pour votre site web : c'est exactement le type d'informations qui se retrouve aussi dans un registre des activités de traitement. Une fois que vous avez cet inventaire, vous n'avez pas besoin de le refaire quand une autre situation se présente, comme un client qui demande un contrat de traitement ou un assureur qui demande comment vous traitez les données.
Où cela devient plus complexe
Dès que votre site web ou votre boutique en ligne communique des données à d'autres parties, comme une entreprise d'hébergement, un outil de marketing par e-mail, un prestataire de paiement ou un service d'analyse, une relation de traitement se crée. Le RGPD s'attend à ce que cette relation soit documentée dans un contrat de traitement. De nombreux prestataires ont un contrat standard prêt, mais cela ne signifie pas que vous pouvez le signer sans le vérifier. La question est toujours : que ce tiers est autorisé à faire avec les données, où elles sont stockées, et que se passe-t-il en cas de violation de données chez ce prestataire.
C'est le point où faire soi-même devient moins évident. Non pas parce que cela doit être compliqué, mais parce que l'inventaire devient rapidement plus grand qu'une seule boutique en ligne : la plupart des entreprises utilisent dix à vingt outils SaaS à la fois, et chaque outil qui traite des données personnelles nécessite en principe une vérification distincte. la banque de connaissances où cela a été examiné pour chaque situation donne pour chaque sujet la réponse brève et la source dans la loi, afin que vous puissiez vous-même évaluer si un contrat suffit ou s'il manque quelque chose.
La sécurité est une autre question que le texte de votre site
En plus du texte de votre site, la technique derrière celui-ci joue aussi un rôle : la connexion est-elle sécurisée, les mots de passe et les données clients sont-ils correctement stockés, et qui a accès à la gestion de la boutique. Ce ne sont pas des questions juridiques mais pratiques, et elles font partie du tableau d'ensemble. Sur la page sur la sécurité de la confidentialité et des données vous verrez d'où viennent ce type de questions et pourquoi les autorités de contrôle les examinent toujours en cas de violation de données.
Quand faites-vous appel à quelqu'un d'autre
Il n'y a pas de limite nette entre faire soi-même et externaliser. Pour un simple site web avec un formulaire de contact, gérer soi-même suffit souvent, à condition de conserver une vue d'ensemble et de la tenir à jour. Avec une boutique en ligne disposant de comptes clients, plusieurs outils marketing et des fournisseurs internationaux, le suivi devient rapidement confus, et c'est précisément à ce moment que de nombreuses entreprises choisissent de faire surveiller le processus plutôt que de le gérer manuellement.
Que vous continuiez à le faire vous-même ou que vous le confiiez à quelqu'un d'autre, cela vous appartient ; la loi ne prescrit pas une méthode, seulement un résultat. Si vous doutez de votre situation propre, c'est une question à poser à un avocat ou à l'Autorité de protection des données, pas quelque chose qu'un système peut décider pour vous.
Déterminez par vous-même comment cela fonctionne chez vous
De nombreuses entreprises commencent par se demander si elles doivent faire quelque chose, et cette question trouve souvent une réponse plus rapidement qu'on ne le pense. Consultez les questions fréquemment posées sur ce qui est nécessaire ou non ou effectuez le contrôle gratuit pour voir où en est votre site web ou boutique en ligne actuellement. Si vous souhaitez ensuite savoir comment le système derrière gdpria.eu maintient cet aperçu pour vous, vous pouvez le lire sur la page qui montre d'où proviennent les informations.
La banque de connaissances et le premier contrôle sont gratuits, même sans compte. Si vous souhaitez que l'aperçu de vos outils et contrats reste automatiquement à jour, jetez un œil tranquille à ce qui est nécessaire pour cela.