Comment être RGPD-friendly par défaut ?

6 juin 2020

Qu’est-ce que le RGPD ?

La loi RGPD est devenue effective le 25 Mai 2018. Elle représente l’ambition de l’UE d’harmoniser la collecte et la gestion de données privées des utilisateurs sur Internet. Cela doit être fait dans un premier temps au sein de l’Union européenne, puis au niveau mondial.

Le respect du RGPD nécessite souvent des changements importants dans la stratégie de gestion des données. Cela peut concerner le business model de l’entreprise aussi.

Le but initial du RGPD était de garantir la bonne gestion de données de manière plus consciente et plus transparente. Les sociétés doivent également informer les clients des usages de leurs informations privées. Toutes les entreprises, quelque soit leurs taille, type d’activité ou les données qu’elles récoltent, doivent répondre aux exigences du RGPD. De nombreuses sociétés non européennes ayant des clients sur le territoire ont dû cesser leurs activités au sein de l’UE. Cela est dû en raison de leurs incapacités, principalement financière, à se conformer aux exigences légales.

Pourquoi le RGPD est-il important?

Le cabinet d’avocats international DLA Piper a mené une étude sur le RGPD. Depuis son introduction, il y a eu plus de 126 millions de dollars de sanctions financières pour infraction à la loi. Voici les données par pays sur les fuites de données:

Selon l’enquête menée 2 mois avant l’introduction du RGPD, 63% des répondants ont déclaré ne pas être prêts à temps pour la loi. Tandis que 26% ont admis que leurs politiques de gestion de données seraient probablement pleinement conformes aux exigences du RGPD dans un délai d’au moins 4 ans.

Que faut-il faire?

Dans le cadre de notre thèse professionnelle, nous avons interviewé le Data Analyst d’une société française dont le nom je préfère ne pas mentionner en raison de confidentialité. Notre but a été de comprendre les conséquences du RGPD sur ses activités quotidiennes.

La présentation de l’entreprise

Cette société propose une plate-forme d’analyse mondiale pour les marques FMCG (fast-moving consumer goods) qui permet de prendre des décisions stratégiques en se basant sur des données du Drive et des algorithmes prédictifs fonctionnant grâce à une intelligence artificielle (IA). Les données des sites Web de diverses sociétés de distribution de FMCG sont collectées puis transformées sous forme de rapports que les clients peuvent visionner.

Ils travaillent donc dans le secteur BtoB avec des entreprises comme Mondelez, Unilever, PepsiCo même s’ils collectent des données BtoC.

L’interviewé a commencé à travailler pour cette société en 2018. Selon lui, c’est une entreprise à croissance rapide car ils ont doublé les effectifs en 2 ans. Aujourd’hui, la société emploie 80 personnes en CDI. Il y a aussi des travailleurs temporaires comme des alternants, des stagiaires et des intérimaires.

La collecte de données dans cette société

Les clients utilisent notamment ces données pour mieux comprendre l’évolution de leur marché. Ils souhaitent prendre des décisions stratégiques tout en minimisant les risques potentiels. La collecte des données est donc clairement au cœur du business model de l’entreprise.

Pour collecter des données, la société utilise des outils spéciaux appelés “data scrapers” développés par leurs informaticiens. Leur but est de récolter toutes les données publiques à partir de sites Web des Drives, puis nourrir leur outil avec. Sans entrer dans le détail, ils collectent des données sur chaque point de vente et les transforme en rapports lisibles et disponibles en temps réel pour leurs clients.

Mais comment peuvent-ils être hors du champs d’application du RGPD?

Malgré que de grosses quantités de données soient traitées chaque jour, notre interviewé nous affirme qu’aucune donnée considérée comme privée n’est collectée, et que chaque donnée est anonymisée.

La société a été créée en 2018, à l’époque où le RGPD était sur le point d’être introduit pour protéger les consommateurs européens. Dans ce contexte, l’entreprise a décidé de collecter uniquement des informations publiques. Cela malgré que leurs concurrents traitent des informations privées qui sont plus recherchées par les clients. En outre, l’entreprise supervise et accompagne constamment leurs clients. Ainsi, la société souhaite s’assurer qu’ils font un usage éthique des données fournies.

L’interviewé reste plutôt positif à propos de la loi: “Le RGPD encourage des entreprises à veiller à la bonne gestion de données en permanence”. Selon lui, le RGPD n’a pas eu de vrai impact sur sa société car la loi l’oblige à faire ce qu’ils faisaient déjà.

“Dans la mesure où nous ne traitons que des données anonymes, nous restons conformes au RGPD.”

La gestion de données clients

L’interviewé nous confirme l’importance des données: “Les données sont très cruciales pour chaque entreprise. Nos algorithmes utilisent l’apprentissage automatique et l’intelligence artificielle pour personnaliser les rapports pour nos clients. Les données nous aident à fournir un meilleur service. Pour le BtoB, c’est différent, nous ne collectons pas beaucoup de données sur les entreprises avec lesquelles nous travaillons. Nous nous sommes préoccupés plutôt de la qualité des données que nous leur fournissons. “

La société est l’exemple d’une entreprise conforme au RGPD depuis sa création. Grâce à un business model préalablement adapté à la législation, elle exploite uniquement des données publiques considérées comme non-sensibles. Cela limite grandement le risque de problématiques liées au RGPD. L’interviewé nous a avoué : “nos clients savent que nous ne disposons que de données anonymes dans nos outils, ils supposent que nous sommes probablement conformes au RGPD par défaut“.

En ce qui concerne la sécurité de données, le Data Analyste nous affirme que ses équipes essaient régulièrement de renforcer les systèmes et les processus internes, afin de minimiser le risque. L’interviewé est sûr qu’aucune fuite de données n’a eu lieu dans sa société:

“Nous essayons toujours de renforcer notre sécurité des données. Je ne pense pas que nous ayons eu de fuites de données ou que nous en aurions. Nous y travaillons constamment.”

Ce qu’il faut en retenir

L’entretien réalisé avec la société était extrêmement enrichissant. Cela démontre à quel point la nature du business model est central dans l’exposition d’une entreprise à la réglementation RGPD. Le fait d’uniquement collecter des données publiques ou de les anonymiser permet à l’entreprise d’être hors du champs d’application du RGPD. Attention cependant, car la législation peut évoluer et élargir ses champs d’actions dans le futur.

SOURCE: