En tant qu’individu, vous devriez avoir la possibilité d’accéder à toutes les informations personnelles qu’une entreprise possède à votre sujet et de transférer ces données à une autre entreprise à tout moment. C’est le concept fondamental derrière le droit à la portabilité des données, qui est décrit dans plusieurs lois.
Ces données doivent être fournies dans un format commun, lisible par machine, afin qu’elles puissent être facilement transférées vers une autre plateforme ou un autre fournisseur. Parmi les exemples de types de fichiers acceptables, citons JSON, CSV et XML. Le fournisseur d’origine est responsable de la sécurité de ces données pendant leur transit, après quoi le fournisseur destinataire prend le relais.
Comment le droit à la portabilité des données affecte votre entreprise ?
Le droit à la portabilité des données peut avoir un impact sur votre entreprise même si votre siège social n’est pas situé dans un endroit soumis aux lois sur la portabilité des données. Si l’une des informations personnelles que vous recueillez dans le cadre de votre activité appartient à un individu n’importe où avec des réglementations sur la confidentialité et la portabilité des données, vous devez être préparé. Il est important de se rappeler que le RGPD et le CCPA ne sont pas les seules lois sur le droit à la portabilité des données qui pourraient affecter votre entreprise.
Un utilisateur peut demander ses données avec une demande d’accès aux données des personnes concernées ou DSAR. Il n’y a pas d’exigences formelles sur la façon dont cette demande est faite. L’utilisateur a la liberté d’utiliser la méthode de communication qu’il souhaite, mais vous pouvez normaliser le processus en incluant un modèle ou un formulaire de soumission sur votre site web. Cela vous permet de faciliter la tâche et celle de vos utilisateurs. Une fois qu’un utilisateur a soumis un rapport d’activité, vous disposez d’un temps limité pour y répondre, vous devez donc avoir un plan en place à l’avance.
Consultez cet article pour en savoir plus sur l’effectivité du droit de portabilité.
Les aspects pratiques à prendre en compte
Vous devez considérer les points suivants pour vous préparer à d’éventuelles demandes de portabilité des données :
Cartographie des données
La meilleure façon d’identifier et de suivre les informations personnelles est d’utiliser un logiciel de cartographie, de classification et de découverte des données. Ces fonctionnalités vous permettront d’automatiser le processus de marquage, de classification, de recherche et de récupération des données personnelles afin que vous puissiez facilement vous conformer au RGPD d’un client.
Vérification de l’identité
Le RGPD et le CCPA stipulent tous deux que les entreprises doivent vérifier l’identité d’un client avant de divulguer toute information personnelle. Il existe une variété de méthodes que vous pouvez utiliser pour ce faire, y compris les contrôles d’authentification multifactorielle courants comme les codes de sécurité par SMS et les scans d’empreintes digitales. Vérifiez vos lois applicables pour vous assurer que vous utilisez une méthode d’identification acceptée. Le RGPD par exemple, précise que vous devez prouver l’identité d’un client par la connaissance (par exemple, une question de sécurité), la possession (comme un porte-clés MFA ou un téléphone portable) ou l’inhérence (une empreinte digitale ou un scan rétinien).
Sécurité de la portabilité des données
En plus d’utiliser une méthode de cryptage des données fiable et conforme, vous devez également surveiller et consigner le processus de transfert afin de pouvoir identifier toute tentative de violation ou tout problème de transmission. Le droit à la portabilité des données signifie que la sécurité des données personnelles d’un utilisateur relève de votre responsabilité jusqu’à ce qu’elles atteignent leur destination en toute sécurité, il est donc important de ne pas perdre la trace des données pendant leur transfert.