Les messages au sujet du RGPD arrivent en grand nombre : infolettres, webinaires et consultants, tous porteurs du même message. Le 25 mai 2018 approche, les amendes peuvent atteindre 4 % du chiffre d'affaires mondial, et les entreprises doivent se préparer. La plupart de ces messages visent des entreprises européennes et, depuis une île en Indonésie, il est tentant de conclure que le règlement ne s'applique pas.
Le profil des réservations réelles indique le contraire. Une grande part des plongeurs accueillis ici viennent d'Europe : des voyageurs allemands, français, néerlandais et britanniques. Ils réservent sur les sites des centres de plongée, depuis chez eux, des mois à l'avance. Ils s'abonnent aux infolettres et envoient par courriel des copies de leurs cartes de certification.
Nous avons donc examiné le règlement en détail.
Le RGPD s'applique-t-il à une entreprise située hors d'Europe?
C'est possible. L'article 3 prévoit qu'il s'applique aux entreprises situées hors de l'UE lorsqu'elles offrent des biens ou des services à des personnes qui se trouvent dans l'UE, ou lorsqu'elles suivent le comportement de personnes dans l'UE.
Le détail compte, et de nombreux messages alarmistes le présentent mal. Le règlement vise les personnes qui se trouvent dans l'UE, et non les citoyens européens où qu'ils soient. Un touriste allemand qui entre dans un centre de plongée à Bali depuis la rue n'est pas clairement visé. Le même voyageur allemand, assis à Munich, qui réserve un cours sur le site du centre avec des prix en euros et une page en allemand, représente un cas beaucoup plus clair : l'entreprise offre des services à une personne qui se trouve dans l'Union.
La plupart des centres de plongée dotés d'un site international se situent du côté visé de cette ligne, du moins pour une partie de leurs activités. Nous recommandons de présumer que le règlement s'applique et d'apporter les changements nécessaires, plutôt que de débattre de la question après une plainte.
Quant aux clients britanniques, le Royaume-Uni fait encore partie de l'UE pour l'instant, et son gouvernement vient de déposer son propre projet de loi sur la protection des données, qui intègre les mêmes normes au droit britannique. Le Brexit ne supprime donc pas l'obligation.
Est-il probable qu'un organisme de réglementation européen poursuive un petit centre de plongée en Indonésie? Cela semble peu probable, puisque ces organismes concentreront leurs efforts sur de plus grandes organisations. Ce n'est toutefois pas la principale raison de se conformer. La principale raison est que les clients s'y attendent, et que la plupart des exigences du RGPD relèvent simplement des bonnes pratiques.
Quelle est la première étape vers la conformité?
Un inventaire des renseignements personnels que recueille l'entreprise. Un tableur suffit : chaque point d'entrée de renseignements personnels dans l'entreprise, leur nature, leur lieu de conservation, les personnes qui y ont accès et leur durée de conservation.
Pour un centre de plongée, la liste s'allonge rapidement :
- les formulaires de réservation sur le site Web (nom, courriel, téléphone, dates)
- les inscriptions à l'infolettre
- les numéros de carte de certification et les copies des cartes
- les renseignements de passeport, dans certains cas, pour les listes de passagers ou les permis
- le questionnaire médical que remplit chaque plongeur
- les personnes à joindre en cas d'urgence
- les photos et vidéos des clients, qui sont ensuite publiées sur Facebook
- les échanges de courriels, les conversations WhatsApp et la boîte de réception des réservations
Le formulaire médical suscite le plus d'inquiétude, et avec raison. Les données de santé constituent une catégorie particulière en vertu du RGPD, assujettie à des règles plus strictes. Elles sont nécessaires pour la sécurité, mais n'ont pas à être conservées indéfiniment dans un tiroir non verrouillé ou sous forme de photo dans le téléphone personnel d'un membre du personnel.
La plupart des petites entreprises que nous connaissons n'ont jamais rien consigné de tout cela. Les données s'accumulent simplement dans l'outil le plus pratique.
Comment obtenir le consentement?
Clairement, au moyen d'une case que la personne coche elle-même. L'infolettre en est l'exemple le plus clair. Bien des entreprises ajoutent automatiquement chaque adresse de réservation à leur liste d'envoi. En vertu du RGPD, cette pratique pose problème. Les gens doivent consentir activement à recevoir des courriels de marketing, au moyen d'une case qu'ils cochent eux-mêmes plutôt que d'une case précochée, et ils doivent disposer d'un moyen simple de se désabonner.
Il en va de même pour les photos. Avant de publier le visage d'un client sur les réseaux sociaux, l'entreprise doit lui en demander la permission. La plupart des gens acceptent volontiers; certains refusent, et ils ont leurs raisons.
Les entreprises canadiennes ont déjà une longueur d'avance sur une partie de ces exigences. La LCAP, la loi canadienne anti-pourriel, exige le consentement pour les courriels commerciaux depuis 2014. Une infolettre déjà conforme à la LCAP satisfait à la plupart des exigences du RGPD sur ce point. La LCAP a souvent été perçue comme un fardeau; elle se révèle aujourd'hui une préparation utile.
Combien de temps conserver les renseignements personnels?
Uniquement le temps nécessaire aux fins pour lesquelles ils ont été recueillis. Cette étape est souvent la plus difficile, pour des raisons plus culturelles que techniques. Les propriétaires de petites entreprises ont tendance à tout garder : des tableurs de réservations datant de plusieurs années, un dossier de cartes de certification numérisées de clients venus une seule fois, le tout conservé « au cas où ».
La règle doit être établie explicitement. Conserver les dossiers de réservation aussi longtemps que l'exigent la comptabilité et l'assurance. Conserver les formulaires médicaux aussi longtemps que l'exige l'assureur ou l'organisme de formation, puis les détruire. Ne pas conserver le reste.
Moins de données signifie aussi moins d'exposition. Ce mois-ci, Equifax, l'une des principales agences d'évaluation du crédit américaines, a reconnu que des pirates ont eu accès aux renseignements personnels d'environ 143 millions de personnes. Equifax est une très grande entreprise dotée d'une équipe de sécurité. Un ordinateur portable volé dans un centre de plongée et contenant trois ans de passeports numérisés constitue une version réduite du même incident. Un ordinateur portable ne contenant aucune donnée sensible n'est qu'un ordinateur perdu.
Quelles autres mesures sont nécessaires?
Une politique de confidentialité en langage clair qui explique ce qui est recueilli et pourquoi. Une personne désignée que les clients peuvent joindre au sujet de leurs données. La confirmation que les outils utilisés, comme le système de réservation et la plateforme de courriel, traitent les données correctement et signeront les ententes exigées par le RGPD. Le HTTPS sur le site Web, qui devrait déjà être en place, puisque Chrome a commencé en janvier à marquer « Non sécurisé » les pages en HTTP comportant des champs de mot de passe ou de carte de crédit.
Comment planifier le travail au cours des huit prochains mois?
Par étapes. Le travail n'a pas à être accompli d'un seul coup. Nous recommandons la séquence suivante.
Cet automne, réaliser l'inventaire et supprimer les données inutiles, ce qui élimine à lui seul la plus grande partie du risque. Ensuite, traiter l'infolettre : nettoyer la liste, demander aux abonnés actuels de confirmer leur abonnement lorsque leur provenance est incertaine, et corriger les formulaires d'inscription. Préparer ensuite la politique de confidentialité et les ententes avec les fournisseurs. Prévoir une marge avant mai, car chaque fournisseur de logiciels enverra de nouvelles conditions au printemps, et il faudra les lire attentivement.
Pour consulter la source, le texte complet du RGPD est présenté article par article (en anglais), et il se lit plus facilement qu'on pourrait le croire. Les articles 5 et 6 constituent un bon point de départ.
Si une liste d'envoi a été constituée en ajoutant tous les clients sans consentement explicite, cette situation doit être corrigée avant tout autre changement aux infolettres de l'entreprise. Certains noms seront perdus. Une liste plus courte de personnes qui souhaitent réellement recevoir l'infolettre a plus de valeur, et c'est le seul type de liste qu'il conviendra d'utiliser en juin prochain.