Les principes à retenir

1. Collecter seulement le nécessaire

On ne recueille que les renseignements nécessaires à un objectif déterminé (art. 4). Question réflexe : « Si je ne collectais pas ce champ, pourrais-je quand même offrir le service ? »

2. Un consentement valable

Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques (art. 14) :

• demandé en termes simples et clairs, séparément de toute autre information (pas noyé dans les conditions d'utilisation);
• valable seulement pour la durée nécessaire aux fins indiquées;
• exprès s'il s'agit d'un renseignement sensible;
• pour un mineur de moins de 14 ans, donné par le titulaire de l'autorité parentale (art. 4.1).

Exemple (SaaS). Une case « J'accepte le suivi analytique » précochée n'est pas un consentement valable : il faut un opt-in.

3. Transparence

Au moment de la collecte, on informe la personne des fins, des moyens, des droits et de la possibilité de retirer son consentement (art. 8). Les politiques de gouvernance sont publiées en langage clair (art. 3.2). Les technologies de profilage, d'identification ou de localisation doivent être désactivées par défaut (art. 8.1).

4. Protection par défaut

Les paramètres de confidentialité d'un produit ou service offert au public doivent offrir par défaut le plus haut niveau de confidentialité (art. 9.1).

5. Droits des personnes

Accès, rectification (art. 27 et 28), retrait du consentement, information sur les décisions prises par traitement entièrement automatisé (art. 12.1) et portabilité (depuis le 2024-09-22).