Le RGPD pour une application : les 5 points à vérifier

Votre application respecte-t-elle le RGPD ? Impossible de répondre par oui ou par non sans regarder ce qu'elle fait réellement. Voici cinq points de contrôle concrets pour faire le tour de la question.

Précision utile : cet article n'est pas un conseil juridique. Il vous aide à poser les bonnes questions à votre équipe, et pour les cas délicats, un juriste ou un délégué à la protection des données reste le bon interlocuteur.

Le RGPD, en une phrase

Le RGPD est le règlement européen qui encadre l'usage des données personnelles, c'est-à-dire toute information qui permet d'identifier quelqu'un : un nom, un e-mail, une adresse, un identifiant de compte, parfois une adresse IP.

Pensez à un cabinet médical. Les patients lui confient des informations. En échange, il doit savoir ce qu'il garde, pourquoi il le garde, qui peut ouvrir les dossiers, et rendre un dossier à son patient s'il le demande. Votre application tient le même rôle envers ses utilisateurs.

Les 5 points à vérifier

1. Les données collectées

Faites la liste, champ par champ, de ce que votre application enregistre : formulaire d'inscription, profil, paiements, journaux techniques, outils de mesure d'audience. Pour chaque donnée, posez-vous une question : en avons-nous vraiment besoin ?

Ce que vous ne collectez pas, vous n'avez ni à le protéger, ni à le justifier. Collecter moins est le geste le plus efficace.

2. La base légale, en termes simples

Chaque usage de données doit reposer sur une raison reconnue. En pratique, les plus courantes sont :

• l'exécution d'un service : vous avez besoin de l'adresse de livraison pour livrer ;
• une obligation légale : la conservation de factures, par exemple ;
• l'intérêt légitime : un besoin réel de l'entreprise, qui ne doit pas écraser les droits de la personne ;
• le consentement : la personne a dit oui, librement et clairement.

Le consentement n'est pas la réponse à tout. Pour beaucoup de traitements, une autre base est plus adaptée. L'important est de savoir laquelle s'applique à chaque donnée.

3. Les mentions et le consentement

Les utilisateurs doivent savoir ce que vous faites de leurs données avant de vous les confier. Vérifiez :

• qu'une politique de confidentialité claire existe et reste à jour ;
• que les informations sont données au moment de la collecte, pas cachées trois clics plus loin ;
• que, quand le consentement est nécessaire (certains traceurs, certains envois commerciaux), la case n'est pas cochée d'avance et que refuser est aussi simple qu'accepter ;
• que vous gardez une trace de ce que chaque personne a accepté.

4. Les droits des personnes

Vos utilisateurs peuvent demander à consulter leurs données, les corriger, les supprimer, ou les récupérer. Posez-vous trois questions pratiques :

• Saurions-nous retrouver toutes les données d'une personne, y compris dans les sauvegardes, les outils tiers et les fichiers exportés ?
• Saurions-nous les supprimer vraiment, et pas seulement masquer le compte ?
• Qui reçoit la demande, et qui y répond dans les délais ?

Si la réponse à l'une de ces questions est « nous ne savons pas », c'est un point à traiter.

5. La sécurité et les sous-traitants

Protéger les données fait partie de l'obligation. Regardez :

• qui a accès à quoi : un stagiaire a-t-il besoin de voir tous les comptes ?
• le chiffrement des connexions, et la manière dont les mots de passe sont stockés (voir le hachage de mot de passe) ;
• les sauvegardes et leur protection (voir sauvegarde et réplication) ;
• vos sous-traitants : hébergeur, outil d'e-mailing, mesure d'audience, paiement. Pour chacun, savez-vous quelles données il reçoit, où elles sont traitées, et existe-t-il un contrat qui encadre cet usage ?

Le dernier point est souvent oublié : un prestataire qui traite des données pour vous engage aussi votre responsabilité.

Par où commencer

Une feuille suffit. Une colonne par point, une ligne par donnée, et un responsable désigné pour chaque case vide. Beaucoup d'applications ont des trous simplement parce que personne n'a pris le temps de tout poser à plat.

À retenir

Le RGPD se prépare en répondant à cinq questions : quelles données, pour quelle raison, avec quelle information, avec quels droits, et protégées comment. Cet article n'est pas un avis juridique : pour les cas qui comptent, faites-vous accompagner par un spécialiste.

Et pour votre produit ?

Une partie de ces points se vérifie dans le code : qui peut lire quelles données, ce qui est stocké, ce qui circule vers des services tiers. C'est un angle que peut couvrir un audit de votre application, en complément de l'avis d'un juriste. Si vous voulez en parler, nous pouvons prendre 30 minutes ensemble pour voir ce qui mérite d'être regardé en premier.