Depuis quelques années, les internautes sont de plus en plus nombreux à s’inquiéter de la destination de leurs données personnelles, à se renseigner sur leurs droits, et à solliciter une sécurité informatique et une attention accrues quant au respect de ces droits. C’est dans ce cadre que la RGPD, une refonte du cadre légal concernant la sécurité des données en ligne, a été adoptée, et s’applique aux structures spécialisées dans l’hébergement web et traitant des données à caractère personnel. Mais comment se mettre en conformité avec cette loi quand on est hébergeur web ?
L’essentiel à savoir à propos du RGPD
Le Règlement Général sur la Protection des Données (RGPD) est un texte fondamental qui renforce la sécurité des données personnelles collectées par les associations, entreprises et sous-traitants. Appliquée en France depuis le 25 mai 2018, cette mise en conformité par rapport à l’ancienne loi « informatique et libertés » modifie, complète et renforce les règles qui existaient déjà. Désormais, les structures qui pratiquent l’hébergement web doivent mettre en œuvre de nouvelles mesures pour se conformer aux règles prévues par le RGPD dans le cadre de la protection des données personnelles.
Cette mise en conformité doit être effectuée aussi bien par les professionnels du secteur privé que par ceux du public, du moment où des informations personnelles sont collectées. Ainsi, les concernés peuvent être des associations, des collectivités locales, l’État ou encore des entreprises, qu’importent le chiffre d’affaires et l’effectif. Le RGPD ne concerne pas que les organismes présents physiquement en Europe : tout spécialiste de l’hébergement web d’un autre continent qui collecte des données personnelles sur des citoyens d’un pays appartenant à l’Union Européenne doit aussi s’y conformer.
Hébergement web : la mise en conformité avec le RGPD
La non-conformité avec le RGPD est passible de sanctions graves pour tout hébergeur web. Pour les éviter, certaines dispositions doivent nécessairement être prises, notamment par le sous-traitant, qui se charge du traitement des informations à caractère personnel pour le compte du responsable du traitement.
Entre autres, le sous-traitant doit être en mesure d’accompagner les internautes et clients dans le respect de leurs obligations règlementaires, dans le cadre de l’hébergement web, ce par le biais d’une documentation adéquate des services. Plus d’infos sur Gataka. Par ailleurs, le sous-traitant doit s’assurer :
- de rédiger des clauses contractuelles en accord avec la législation,
- de transférer les informations personnelles vers un pays tiers seulement s’il dispose d’un niveau de protection conforme aux conditions établies par la Commission Européenne,
- de prévenir les internautes et clients de tout recours à des sous-traitants pouvant manipuler des informations à caractère personnel,
- de les informer dans les plus brefs délais en cas de violation des données,
- de traiter les informations à caractère personnel uniquement aux fins de bonne exécution des services (pas de publicité ni de marketing),
- de formaliser et d’appliquer une procédure sécuritaire de haut niveau afin d’assurer une protection adaptée aux différentes prestations proposées avec l’hébergement web.
Le responsable du traitement a lui aussi des obligations dans le cadre de la mise en conformité avec le RGPD. Il doit :
- garantir un accès restreint aux données, seulement aux personnes strictement autorisées à les traiter, et prendre des mesures de sécurité ;
- restreindre la collecte d’informations personnelles uniquement à celles qui sont réellement indispensables ;
- garantir une durée de conservation des données à caractère personnel n’excédant pas celle nécessaire aux finalités de leur traitement par l’hébergeur web ;
- garantir que les données collectées ne serviront pas à d’autres fins que celles pour lesquelles elles ont été recueillies par le spécialiste de l’hébergement web.
