Le 25 mai marque chaque année l'anniversaire de l'entrée en application du Règlement général sur la protection des données, que l'on désigne par ses initiales, le RGPD. Derrière ce sigle un peu austère se cache une idée simple et forte : vos données personnelles vous appartiennent, et personne ne peut en faire n'importe quoi. Une donnée personnelle, c'est toute information qui permet de vous identifier, directement ou indirectement : votre nom, votre adresse, votre courriel, mais aussi votre historique d'achats, votre position ou vos habitudes de navigation.
Pourquoi un tel texte était-il nécessaire ? Parce que dans l'économie numérique, la donnée est devenue une matière première d'une immense valeur. Elle permet de cibler la publicité, de recommander des produits, d'ajuster des prix, de prévoir des comportements. On dit parfois que si un service en ligne est gratuit, c'est que le produit, c'est vous, ou plus exactement vos données. Face à cette collecte massive, l'Union européenne a voulu rééquilibrer le rapport de force entre les individus et les organisations qui exploitent leurs informations.
Le RGPD repose sur quelques principes que vous devez connaître. D'abord, la collecte doit avoir une finalité claire et légitime : on ne récolte des données que pour une raison précise et annoncée, pas pour le plaisir d'accumuler. Ensuite, le principe de minimisation impose de ne demander que les données réellement nécessaires. Un site qui vend des chaussures n'a aucune raison d'exiger votre profession ou votre statut familial. Enfin, le consentement doit être libre et éclairé : les fameuses bannières de cookies découlent directement de cette exigence, même si leur usage est parfois agaçant.
Le texte vous accorde surtout une série de droits concrets, et c'est le coeur du sujet. Vous avez le droit d'accéder aux données qu'une organisation détient sur vous, le droit de les faire rectifier si elles sont fausses, et le fameux droit à l'effacement, souvent appelé droit à l'oubli, qui permet de demander la suppression de certaines informations. Vous disposez aussi d'un droit à la portabilité, c'est-à- dire la possibilité de récupérer vos données pour les transférer ailleurs. Ces droits ne sont pas théoriques : toute entreprise doit être en mesure de les respecter, sous peine de sanctions.
Car le RGPD a des dents. En France, c'est la Commission nationale de l'informatique et des libertés, la CNIL, qui veille à son application. Elle peut contrôler, avertir, et prononcer des amendes qui peuvent atteindre des montants considérables, calculés en pourcentage du chiffre d'affaires mondial d'une entreprise. Cette sévérité n'est pas gratuite : elle vise à ce que la protection des données ne soit pas une simple formalité mais une véritable contrainte, prise au sérieux au plus haut niveau des organisations.
Un dernier réflexe mérite d'être acquis, celui de la sécurité. Protéger des données, ce n'est pas seulement demander l'autorisation de les collecter, c'est aussi les garder à l'abri. Un mot de passe solide, un accès limité aux seules personnes concernées, une vigilance face aux courriels frauduleux : ces gestes simples font partie du métier dès lors que l'on manipule des informations sur autrui. Une fuite de données provient souvent moins d'un piratage spectaculaire que d'une négligence ordinaire. Se soucier de la protection des données, c'est donc autant une affaire de règles qu'une affaire d'habitudes quotidiennes.
Pour vous, futurs professionnels, ce sujet est loin d'être abstrait. Dès que vous travaillerez avec des clients, vous manipulerez leurs données : un fichier de réservations, une liste de courriels pour une newsletter, un programme de fidélité. Toutes ces opérations sont encadrées. Envoyer une publicité par courriel à quelqu'un qui ne l'a pas acceptée, revendre un fichier client, conserver des données pour toujours sans raison : autant de pratiques qui exposent l'entreprise à de réels ennuis. Connaître les bases du RGPD, c'est donc protéger vos futurs employeurs autant que vos clients.
Prenons un exemple très concret pour ancrer tout cela. Un hôtel constitue un fichier de ses clients : noms, coordonnées, dates de séjour, préférences. Ce fichier est précieux pour fidéliser, mais il est soumis au RGPD. L'hôtel doit informer ses clients de l'usage qui sera fait de leurs données, ne conserver ces informations que le temps nécessaire, les sécuriser contre le vol ou la fuite, et recueillir leur accord avant de leur envoyer, par exemple, des offres promotionnelles. S'il souhaite désigner une personne chargée de veiller à ces règles, il nomme un délégué à la protection des données. Ces obligations peuvent sembler lourdes, mais elles protègent aussi l'entreprise : une fuite de données mal anticipée peut coûter très cher, en argent comme en réputation. Respecter le RGPD, c'est donc à la fois une contrainte légale et une bonne gestion.
Les fameux cookies méritent enfin un mot, car ils illustrent parfaitement le principe du consentement. Un cookie est un petit fichier déposé sur votre appareil, qui permet notamment de vous suivre d'un site à l'autre pour vous proposer de la publicité ciblée. Les traceurs de ce type ne peuvent être activés qu'avec votre accord : c'est pourquoi les sites vous demandent de choisir. Refuser n'est pas anodin : c'est reprendre un peu de contrôle sur la trace que vous laissez. La prochaine fois, prenez quelques secondes pour décider plutôt que de tout accepter machinalement.
Retenez enfin la dimension citoyenne de ce texte. Le RGPD a fait de l'Europe un pionnier mondial de la protection des données, un modèle que d'autres régions du monde observent et parfois imitent. À l'heure où nos vies se déroulent en partie en ligne, disposer d'un cadre qui rappelle que l'individu n'est pas réductible à ses données est une forme de protection de la liberté. La prochaine fois que vous cliquerez sur « gérer mes préférences » plutôt que sur « tout accepter », vous saurez que vous exercez un droit, et non que vous perdez votre temps.