Avec le GDPR, puis-je toujours autoriser nos clients à stocker les informations de leurs membres?
Je suis actuellement en train de développer un système qui permet à mes clients de garder la trace des membres d'une organisation. L'organisation a des membres qui paient chaque année pour leur adhésion et chacun est personnellement lié à l'organisation.
Lorsque le GDPR entre en vigueur, l’organisation est-elle toujours autorisée à saisir les informations d’un nouveau membre (ou d’un membre existant) et, dans l’affirmative, a-t-elle besoin d’un consentement écrit? L'ancienne situation stockait les informations du nouveau membre dans Excel, par exemple.
Si quelqu'un demande la suppression de leurs données ("droit à l'oubli"), est-ce que je les supprime de l'administration de cette organisation? Comment puis-je informer cette organisation qu'un de leurs membres veut toujours en être membre, mais pas dans le système? Est-ce que je peux toujours montrer leur nom, mais indiquer toutes les autres informations comme "enlevé", ou dois-je aussi retirer complètement leur nom (ce qui signifie que l'organisation ne sait pas qui était la personne à l'origine)?
Je n'arrive pas à trouver les bonnes réponses à ces questions, car la plupart des informations que je trouve sur le RGPD nous concernent, en tant que société, conservons les données, ce qui n'est pas tout à fait notre travail.
Le GDPR vous permet toujours de stocker des données, cela ne change que la façon dont vous les manipulez. Par exemple, votre application devrait comporter une section expliquant pourquoi les données ont été collectées, comment ces données sont utilisées et comment les supprimer, si l'utilisateur le demande. En outre, l'utilisateur doit pouvoir connaître la quantité d'informations qu'il partage en un clic.
Bien sûr, vous avez toujours le droit de stocker tout ce que vous voulez. Mais tu devrais
- offre une acceptation claire avant vous stockez quoi que ce soit avec la liste de tout ce que vous allez stocker,
- après avoir stocké quoi que ce soit, vous devriez lister tout ce que vous avez déjà stocké à la demande de l'utilisateur,
- offrir un désengagement clair.
Dans le cas où vous avez déjà stocké quelque chose: si vous avez commencé à stocker quelque chose sans vous inscrire clairement, vous devez supprimer toutes les données utilisateur stockées et commencer par:
- offre une acceptation claire avant vous stockez quoi que ce soit avec la liste de tout ce que vous allez stocker.
Au cas où vous stockeriez déjà quelque chose - cela pourrait être vérifié par les fonctionnaires, si vous avez offert une acceptation et une désactivation claires. Si non, cela pourrait être, ne sait pas, poursuivi, condamné ou équivalent - dépend de la loi de certains pays.
En fonction de la situation de votre concurrent, vous pourriez devenir une victime de dénonciation. Vous feriez donc mieux de contacter un avocat de votre confiance.