Lorsqu’une personne demande à ne plus recevoir d’appels commerciaux, l’entreprise doit enregistrer son opposition et empêcher toute nouvelle sollicitation. Cette demande concerne aussi les courriels et les SMS lorsque les données servent à la prospection commerciale. Le respect des droits…
Lorsqu’un formulaire demande une date de naissance complète pour envoyer une simple confirmation de rendez-vous, une question s’impose : cette précision est-elle vraiment utile ? La minimisation des données consiste à vérifier chaque demande au regard d’un objectif défini, puis…
Une amende dissuasive de la CNIL peut atteindre des montants élevés, mais le plafond légal ne prédit pas la sanction d’une organisation. L’autorité de contrôle examine notamment la nature du manquement, sa durée, les personnes touchées et les mesures prises…
Rendre un profil anonyme dès sa création peut réduire l’exposition des données personnelles, mais ce choix ne résume pas à lui seul le privacy by design. L’article 25 du RGPD demande d’intégrer des mesures de protection dès la conception et…
Pour une entreprise, l’intérêt légitime peut justifier certains traitements de données personnelles sans recueillir le consentement préalable. Cette base légale du RGPD suppose toutefois un objectif réel, une nécessité démontrée et le respect des droits des personnes. Une caméra destinée…
Une boutique en ligne peut anticiper les achats probables à partir des consultations, des clics et des commandes passées. Lorsque ces données servent à évaluer une personne, la prédiction d’achat peut constituer un profilage automatisé au sens du RGPD. Cette…
Placer des données sur un serveur britannique constitue un transfert international lorsque celles-ci sont communiquées à une entité distincte établie hors de l’Espace économique européen. La localisation du centre de données compte, mais l’identité du fournisseur et son accès aux…
Dans une base de données, remplacer un nom par un code ne suffit pas à rendre les informations anonymes. Si une table de correspondance ou d’autres indices permettent de retrouver une personne, les données restent identifiables et le RGPD continue…
Un contrat cloud ne protège pas les données à lui seul : il doit traduire les garanties de sécurité en tâches concrètes, vérifiables et attribuées. Pour le client comme pour le sous-traitant, cette précision conditionne la confidentialité, la conformité réglementaire…
Effacer un compte après trois ans d’inactivité peut limiter la conservation des données personnelles, mais ce délai ne s’applique pas automatiquement à tous les fichiers. Le RGPD demande une durée adaptée à chaque finalité, et non une règle unique valable…
