Sans déclaration de confidentialité, votre site web manque du document dans lequel vous expliquez quelles données personnelles vous collectez, à quelles fins, et pendant combien de temps. Le RGPD oblige les organismes à informer préalablement les visiteurs et les clients à ce sujet ; c'est ce qu'on appelle l'obligation d'information. En l'absence de cette information, vous ne pouvez donc pas prouver que vous vous conformez à cette obligation.
Ce qui se passe concrètement dépend de qui le remarque. Un visiteur peut déposer une plainte auprès de l'Autorité néerlandaise pour la protection des données, un client professionnel peut poser des questions à ce sujet lors d'un appel d'offres, et un fournisseur de paiement ou une plateforme publicitaire peut refuser le lien avec votre site tant qu'il n'y a pas de déclaration de confidentialité. Aucune de ces situations n'est hypothétique ; elles découlent de conditions que des tiers eux-mêmes imposent déjà, indépendamment de ce que ferait jamais une autorité de surveillance.
Pourquoi une déclaration de confidentialité est plus qu'une formalité
Une déclaration de confidentialité est la preuve visible de quelque chose que vous devriez déjà savoir : quelles données votre site web collecte, par quels formulaires, cookies ou outils d'analyse, et à quelles fins. En l'absence de la déclaration, il est probable que cet inventaire lui-même n'a pas été établi. Cela n'affecte pas seulement le site web, mais aussi la vision plus large de la façon dont votre entreprise traite les données personnelles — quelque chose qui ressort également dès que vous cherchez une réponse à une question spécifique du RGPD.
Le Comité européen de la protection des données et l'Autorité néerlandaise pour la protection des données ont publié des lignes directrices sur ce qu'une déclaration de confidentialité doit contenir au minimum, comme les coordonnées du responsable du traitement, les délais de conservation et les droits des personnes concernées. Ces lignes directrices ne sont pas une loi, mais les autorités de surveillance les utilisent comme référence lorsqu'elles évaluent si l'obligation d'information a été respectée.
Ce qui se passe en pratique si la déclaration est absente
Les conséquences les plus directes ne surviennent rarement auprès d'une autorité de surveillance, mais auprès des parties avec lesquelles vous faites affaire. Un assureur qui évalue une police cyber demande souvent la déclaration de confidentialité comme partie du dossier. Un acheteur public peut faire de même. Et un visiteur qui se demande ce qui arrive à un formulaire de contact rempli peut, en l'absence d'explication, décider de ne pas faire affaire avec vous ou déposer une plainte.
De plus, une déclaration de confidentialité manquante est souvent le signe que d'autres éléments ne sont pas en ordre : aucun inventaire des outils SaaS qui traitent les données personnelles, pas de contrats de traitement des données avec les fournisseurs, pas de délais de conservation documentés. C'est précisément ce type de cohérence qu'une base de connaissances avec des explications par sujet du RGPD rend transparent : la déclaration de confidentialité ne fonctionne rarement en isolation.
Le rôle de l'autorité de surveillance
L'Autorité néerlandaise pour la protection des données peut intervenir lorsque l'obligation d'information n'est pas respectée, mais comment et quand cela se produit dépend des circonstances du cas et ne peut pas être prédit à l'avance. Ce qui est certain, c'est que l'absence de déclaration de confidentialité n'est pas une omission qui devient moins visible à mesure qu'un site web attire plus de visiteurs — plutôt le contraire.
Que plainte ne conduise réellement à une enquête et ce que seraient les résultats de celle-ci ne peut pas être dit en termes généraux. Pour évaluer une situation spécifique, un juriste ou l'Autorité néerlandaise pour la protection des données elle-même est le point de contact approprié.
Comment résoudre cela
La rédaction d'une déclaration de confidentialité exige une vue d'ensemble claire de ce que votre site web collecte réellement : formulaires de contact, cookies, une boutique en ligne avec données de commande, une infolettre. Une fois cette vue d'ensemble en place, la déclaration elle-même peut généralement être rédigée rapidement. Pour répondre à la question sous-jacente concernant les données que vous traitez réellement et via quels outils, il est utile d'examiner la manière dont cette vue d'ensemble est constituée, par exemple via le la manière dont les données et les systèmes sont documentés.
Une déclaration de confidentialité n'est en outre pas un texte unique. De nouveaux formulaires, de nouveaux outils ou un nouveau service d'infolettre changent ce qui est collecté, et donc aussi ce qui doit figurer dans la déclaration. Si vous souhaitez que cette vue d'ensemble évolue avec les modifications de votre site web, vous pouvez le enregistrer dans un compte professionnel afin que cela ne reste pas une action ponctuelle.
Gdpria.eu propose le générateur de déclaration de confidentialité gratuitement, tout comme la base de connaissances et les autres vérifications de base. Si vous souhaitez savoir où en est votre entreprise actuellement, l'analyse rapide gratuite est un bon point de départ pour voir quels éléments sont déjà en ordre et lesquels demandent de l'attention.