Lorsque vous achetez en ligne, publiez sur les réseaux sociaux ou simplement vous promenez avec un téléphone dans la poche, vous générez des données personnelles. C'est le point de départ d'un article explicatif de Vox Ukraine sur la protection européenne des données personnelles, et c'est un cadre utile pour ce guide. Voici le RGPD expliqué pour les utilisateurs du quotidien : ce que les règles couvrent, quels droits elles vous donnent, comment elles sont appliquées et où vous avez besoin de vos propres outils.

Une note sur les sources : l'extrait de l'article de Vox Ukraine dont nous disposons est court, c'est pourquoi ce billet s'en tient aux principes généraux et bien établis du droit européen de la protection des données et évite toute affirmation spécifique au-delà de ceux-ci.

Ce que le RGPD signifie pour les cookies, les applications et les données de localisation

Le Règlement général sur la protection des données (RGPD) régit la manière dont les organisations collectent et utilisent les données personnelles des personnes en Europe. En pratique, trois domaines du quotidien importent le plus.

Cookies et traceurs. Les sites web qui placent des technologies de suivi non essentielles sur votre appareil ont généralement besoin d'une base légale, et pour la plupart des activités publicitaires et analytiques, cela signifie demander votre consentement. Les bannières de cookies que vous voyez en sont le résultat visible. Les règles visent à rendre le choix réel, de sorte que refuser devrait être aussi facile qu'accepter.

Suivi par les applications. Les applications qui collectent des identifiants, des données d'utilisation ou des coordonnées doivent expliquer ce qu'elles collectent et pourquoi. Les données doivent être limitées à ce qui est nécessaire à une finalité énoncée, et non collectées au cas où elles deviendraient utiles plus tard.

Données de localisation du téléphone. La localisation peut révéler où vous vivez, travaillez et pratiquez votre culte, c'est pourquoi elle est traitée avec une attention particulière. Les applications doivent avoir une raison claire de la demander, et vous devez pouvoir refuser ou retirer votre autorisation ultérieurement.

Le fil conducteur est que les organisations ont besoin d'une raison légale pour traiter vos données, et elles doivent être transparentes à ce sujet.

Vos droits en vertu du droit européen de la protection des données

Le RGPD n'est pas seulement une liste de conformité pour les entreprises. Il donne aux individus des droits concrets qu'ils peuvent exercer :

  • Accès : demander à une organisation si elle détient vos données et en demander une copie.
  • Rectification : faire corriger des données inexactes.
  • Effacement : dans certaines circonstances, demander la suppression de vos données.
  • Opposition et limitation : s'opposer à certains types de traitement, comme le marketing direct.
  • Portabilité : recevoir vos données dans un format utilisable afin de pouvoir les transférer ailleurs.
  • Retrait du consentement : changer d'avis après avoir dit oui.

Ces droits ne sont utiles que si vous les exercez. La plupart des entreprises publient un contact pour la vie privée ou un formulaire de demande, et une demande écrite est un point de départ raisonnable.

Les cadres juridiques restent également une question politique d'actualité. Notre couverture du projet de Reform UK d'abandonner le RGPD montre que la forme du droit de la protection des données peut varier d'un pays à l'autre, il est donc utile de savoir quelles règles s'appliquent là où vous vivez.

Comment les régulateurs font appliquer les règles et où subsistent des lacunes

Les droits sur le papier dépendent de leur application. Les autorités nationales de protection des données enquêtent sur les plaintes et peuvent imposer des sanctions. Notre article explicatif sur le fonctionnement du système de sanctions à deux niveaux du RGPD détaille pourquoi les chiffres d'amendes médiatisés donnent souvent une image fausse de la manière dont les sanctions sont fixées.

Les affaires importantes montrent le système en action. L'Autorité néerlandaise de protection des données a décidé d'infliger à Uber une amende de 825 millions d'euros, soit environ 966 millions de dollars, selon un document consulté par Reuters, comme nous l'avons rapporté dans notre article sur l'amende infligée à Uber par le régulateur néerlandais.

Des lacunes subsistent toutefois. Une critique de longue date est que l'application n'a pas été uniforme entre les États membres, c'est pourquoi nous avons suivi les efforts des régulateurs de l'UE pour rendre les amendes RGPD plus cohérentes. Les enquêtes prennent aussi du temps, et la loi ne fonctionne qu'une fois qu'un problème s'est produit. Elle n'empêche pas techniquement les données d'être collectées en premier lieu, et elle ne peut pas voir tout ce qui se passe dans une application ou un navigateur. Des allégations telles que celles de notre article sur le Browsergate de LinkedIn illustrent combien la collecte cachée de données peut être difficile à repérer pour les utilisateurs ordinaires.

Ce que cela signifie pour vous

Le RGPD vous donne un droit légal sur vos données, mais il fonctionne a posteriori et dépend de l'action des entreprises et des régulateurs. Il ne masque pas votre adresse IP aux sites que vous visitez, ne chiffre pas votre trafic sur le Wi-Fi public et n'empêche pas une application autorisée de lire les données de localisation que vous avez déjà acceptées.

C'est là que les outils personnels entrent en jeu. Un VPN peut chiffrer votre connexion et masquer votre adresse IP aux sites que vous visitez, et la messagerie chiffrée de bout en bout protège le contenu des conversations. Ces outils ne remplacent pas les droits légaux. Un VPN n'empêche pas non plus un site web sur lequel vous vous connectez de savoir qui vous êtes, et il ne supprime pas les données qu'une entreprise détient déjà. Considérez le droit et la technologie comme des couches complémentaires.

Étapes pratiques pour protéger vos données au-delà de la loi

  1. Examinez les autorisations des applications. Réglez l'accès à la localisation sur « lors de l'utilisation » ou « jamais » pour les applications qui n'en ont pas besoin, et supprimez les autorisations des applications que vous ouvrez rarement.
  2. Refusez les cookies non essentiels. Utilisez les options de refus ou de gestion des bannières de cookies, et effacez régulièrement les cookies.
  3. Envoyez une demande de données. Choisissez un service que vous utilisez beaucoup et demandez ce qu'il détient sur vous. Demandez la suppression des comptes que vous n'utilisez plus.
  4. Utilisez le chiffrement. Maintenez vos appareils à jour, activez le chiffrement de l'appareil, utilisez des mots de passe forts et uniques avec un gestionnaire de mots de passe, et activez l'authentification à deux facteurs.
  5. Envisagez un VPN comme une couche. Il peut réduire l'exposition sur les réseaux non fiables, mais il complète vos protections légales, il ne les remplace pas.

L'essentiel

Le RGPD expliqué pour les utilisateurs du quotidien se résume à ceci : la loi vous donne des droits sur les cookies, le suivi par les applications et les données de localisation, et les régulateurs peuvent les faire respecter, mais des lacunes en matière de rapidité et de cohérence subsistent. Prenez quelques minutes cette semaine pour examiner vos paramètres de confidentialité et exercer l'un de vos droits sur les données. Puis lisez notre guide sur le fonctionnement des amendes RGPD pour voir comment l'application se déroule en pratique.