RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

4 critères cumulatifs doivent être remplis pour que le consentement soit valablement recueilli. Le consentement doit être :

1. Libre : le consentement ne doit pas être contraint ni influencé. La personne doit se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus.

Le caractère libre du consentement doit faire l’objet d’une attention particulière dans le cas de l’exécution d’un contrat, y compris pour la fourniture d’un service : refuser de consentir à un traitement qui n’est pas nécessaire à l’exécution du contrat ne doit pas avoir de conséquence sur son exécution ou sur la prestation du service.

Par exemple, un opérateur de téléphonie mobile recueille le consentement de ses clients pour l’utilisation de leurs coordonnées par des partenaires à des fins de prospection commerciale. Le consentement est considéré comme libre à condition que le refus des clients n’impacte pas la fourniture du service de téléphonie mobile.

 

2. Spécifique : un consentement doit correspondre à un seul traitement, pour une finalité déterminée.

Dès lors, pour un traitement qui comporte plusieurs finalités, les personnes doivent pouvoir consentir indépendamment pour l’une ou l’autre de ces finalités. Elles doivent pouvoir choisir librement les finalités pour lesquelles elles consentent au traitement de leurs données.

Par exemple, un organisateur d’évènements culturels souhaite recueillir le consentement des spectateurs pour deux types de prestations : la conservation de leurs coordonnées de paiement (carte bancaire) afin de faciliter leurs prochaines réservations ; la collecte de leur adresse électronique pour leur adresser des courriels concernant des prochaines représentations. Pour que le consentement soit valide, les spectateurs doivent pouvoir consentir librement et séparément pour chacun de ces deux traitements : la conservation des coordonnées bancaires et l’utilisation de leur adresse électronique.

 

3. Eclairé : pour qu’il soit valide, le consentement doit être accompagné d’un certain nombre d’informations communiquées à la personne avant qu’elle ne consente.

Au-delà des obligations liées à la transparence, le responsable du traitement devrait fournir les informations suivantes aux personnes concernées pour recueillir leur consentement éclairé :

• l’identité du responsable du traitement ;
• les finalités poursuivies ;
• les catégories de données collectées ;
• l’existence d’un droit de retrait du consentement ;
• selon les cas : le fait que les données seront utilisées dans le cadre de décisions individuelles automatisées ou qu’elles feront l’objet d’un transfert vers un pays hors Union européenne.

4. Univoque : le consentement doit être donné par une déclaration ou tout autre acte positif clairs. Aucune ambiguïté quant à l’expression du consentement ne peut demeurer.

Les modalités suivantes de recueil du consentement ne peuvent pas être considérées comme univoques :

• les cases pré-cochées ou pré-activées
• les consentements « groupés » (lorsqu’un seul consentement est demandé pour plusieurs traitements distincts)
• l’inaction (par exemple, l’absence de réponse à un courriel sollicitant le consentement)

[lire la suite]

RGPD Spécial consentement (1/5) : Qu’est-ce que le consentement ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

RGPD Spécial consentement (4/5) : Que change le RGPD ?

RGPD Spécial consentement (5/5) : Le consentement doit-il être à nouveau recueilli avec le RGPD ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

Le consentement des personnes doit-il être systématiquement recueilli ?

Non : le consentement est l’une des 6 bases juridiques prévues par le RGPD qui autorisent la mise en œuvre de traitements de données à caractère personnel.

Les responsables du traitement peuvent procéder à des traitements en s’appuyant sur une autre base légale, comme par exemple l’exécution d’un contrat ou leur intérêt légitime. La base légale appropriée doit être déterminée par le responsable du traitement de manière adaptée à la situation et au type de traitement concerné.

En revanche, le consentement de la personne est systématiquement requis pour certains traitements, encadrés par des dispositions légales spécifiques : par exemple, pour réaliser de la prospection commerciale par courriel…[lire la suite]

RGPD Spécial consentement (1/5) : Qu’est-ce que le consentement ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

RGPD Spécial consentement (4/5) : Que change le RGPD ?

RGPD Spécial consentement (5/5) : Le consentement doit-il être à nouveau recueilli avec le RGPD ?

RGPD : Comment remplir le registre CNIL ?

Le principe d’accountability est la responsabilisation des opérateurs afin d’assurer une protection optimale des données personnelles qu’ils traitent de manière continue. Les responsables de traitements et les sous-traitants devront mettre en place des mesures de protection des données appropriées et démontrer cette conformité à tout moment (= documenter la conformité). Tout au long du processus de traitement des données, le responsable du traitement devra non seulement garantir mais aussi être en mesure de démontrer qu’il respecte les droits des personnes au regard des finalités du traitement et des risques inhérents au traitement.

Vous devrez renseigner notamment :

Objectifs poursuivis
Décrivez clairement l’objet du traitement de données personnelles et ses fonctionnalités.
Exemple : pour une activité « formation des personnels » : suivi des demandes de formation et des périodes de
formation effectuées, organisation des sessions et évaluation des connaissances.

Catégories de personnes concernées
Listez les différents types de personnes dont vous collectez ou utilisez les données.
Exemples : salariés, usagers, clients, prospects, bénéficiaires, etc.

Catégories de données collectées
Listez les différentes données traitées
Etat-civil, identité, données d’identification, images (nom, prénom, adresse, photographie, date et lieu
de naissance, etc.)
Vie personnelle (habitudes de vie, situation familiale, etc.)
Vie professionnelle (CV, situation professionnelles, scolarité, formation, distinctions, diplômes, etc.)
Informations d’ordre économique et financier (revenus, situation financière, données bancaires, etc.)
Données de connexion (adresses Ip, logs, identifiants des terminaux, identifiants de connexion, informations d’horodatage, etc.)
Données de localisation (déplacements, données GPS, GSM, …)
Internet (cookies, traceurs, données de navigation, mesures d’audience, …)

• Contrôle d’accès des utilisateurs ;
• Mesures de traçabilité Précisez la nature des traces (exemple : journalisation des accès des utilisateurs), les données enregistrées (exemple : identifiant, date et heure de connexion, etc.) et leur durée de conservation ;
• Mesures de protection des logiciels (antivirus, mises à jour et correctifs de sécurité, tests, etc.)
• Sauvegarde des données ;
• Chiffrement des données (exemple : site accessible en https, utilisation de TLS, etc.);
• Contrôle des sous-traitants ;
• Autres mesures.

Accompagnant depuis 2012 de nombreux établissements, Denis JACOPINI, Expert informatique diplômé en cybercriminalité, certifié en gestion des risques sur les systèmes d'information (ISO 27005) et formé par la CNIL depuis 2011 sur une trentaine de thèmes, est en mesure de vous accompagner dans votre démarche de mise en conformité RGPD.

   

---

Besoin d'un expert pour vous mettre en conformité avec le RGPD ?

Contactez-nous

---

Accompagné de son équipe d'auditeurs et de formateurs, notre Expert, Denis JACOPINI est spécialisé en cybercriminalité et en protection des Données à Caractère Personnel, formateur depuis 1998 et consultant depuis 1996. Avec bientôt une expérience d'une dizaine d'années dans la mise en conformité avec la réglementation relative à la Protection des Données à Caractère Personnel, de formation d'abord technique, Correspondant CNIL en 2012 (CIL : Correspondant Informatique et Libertés) puis en 2018 Délégué à la Protection des Données, en tant que praticien de la mise en conformité et formateur, il lui est ainsi aisé d'accompagner les organismes dans leur démarche de mise en conformité avec le RGPD.

« Mon objectif, vous assurer une démarche de mise en conformité validée par la CNIL.  ».

 

 

Nous vous aidons à vous mettre en conformité avec le RGPD de 2 manières :

  

Quelques articles sélectionnés par nos Experts :
Comment se mettre en conformité avec le RGPD
Accompagnement à la mise en conformité avec le RGPD de votre établissement
Formation RGPD : L’essentiel sur le règlement Européen pour la Protection des Données Personnelles
Comment devenir DPO Délégué à la Protection des Données
Des guides gratuits pour vous aider à vous mettre en conformité avec le RGPD et la CNIL
Mise en conformité RGPD : Mode d’emploi
Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
DIRECTIVE (UE) 2016/680 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 27 avril 2016
Comprendre le Règlement Européen sur les données personnelles en 6 étapes
Notre sélection d'articles sur le RGPD (Règlement Européen sur la Protection des données Personnelles) et les DPO (Délégués à la Protection des Données)

 

---

[block id="24761" title="Pied de page HAUT"]

---

 

Un virus utilise votre téléphone pour fabriquer des bitcoins

RGPD Spécial consentement  (1/5) : Qu’est-ce que le consentement des personnes ?

RGPD Spécial consentement (1/5) : Qu’est-ce que le consentement ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

RGPD Spécial consentement (4/5) : Que change le RGPD ?

RGPD Spécial consentement (5/5) : Le consentement doit-il être à nouveau recueilli avec le RGPD ?

Un organisme présidé par le maire d’une commune sanctionné par la CNIL

C’est une première. Le 31 juillet, la Commission nationale de l’informatique et des libertés (CNIL) a infligé une amende de 30 000 euros à Archipel Habitat, l’office HLM de la métropole de Rennes présidé par la maire (PS) de la ville, Nathalie Appéré. Le gendarme des fichiers lui reproche d’avoir adressé à ses locataires une lettre au ton trop critique à propos de la décision du gouvernement de réduire les aides personnalisées au logement (APL) et les loyers des organismes HLM.

« Après une première baisse de 5 euros par mois, le gouvernement vient d’annoncer son intention de diminuer, dès le 1er janvier 2018, de 60 euros par mois en moyenne les APL des locataires du parc social. Cette mesure est injuste car elle vise exclusivement les personnes logées dans le parc social et marque ainsi une vraie rupture d’égalité au sein de la population », écrivait Mme Appéré aux 12 500 locataires – dont ceux qui ne perçoivent pas d’APL –, le 9 octobre 2017.

Elle ajoutait : « Compensée par une diminution des loyers, cette orientation, si elle devait se mettre effectivement en œuvre, aurait des répercussions terribles sur la qualité de votre cadre de vie. » Pour Archipel Habitat, cette ponction de l’Etat se chiffre à plus de 7 millions d’euros, soit 12 % de ses loyers, donc de sa capacité à construire et rénover….[lire la suite]

Le Nist déconseille le SMS pour l’authentification à double-facteur

Google lance Titan Security Key, une clé USB pour la sécurité de vos comptes

Les systèmes de fichiers sont bien plus en danger qu’on ne le pense

20 failles de sécurité repérées dans la plateforme SmartThings Hub de Samsung

Pratiques, utiles et dans l’ère du temps, les objets connectés n’en demeurent pas moins de véritables nids à vulnérabilités. Un chercheur en sécurité de Cisco Talos, Claudio Bozzato, le prouve une fois de plus en venant récemment de démontrer l’existence de plusieurs vulnérabilités présentes dans le firmware du Samsung SmartThings Hub. Cette plateforme permet de surveiller et de gérer divers dispositifs IoT tels que des prises, ampoules, thermostats, des caméras et d’autres déployés dans les maisons connectées. Le SmartThings Hub fonctionne comme un contrôleur centralisé pour ces périphériques et permet aux utilisateurs de se connecter à distance et de gérer ces périphériques à l’aide d’un smartphone….[lire la suite]