RGPD GDPR

Le RGPD est une loi européenne sur les informations personnelles, et une information personnelle, c'est tout ce qui désigne une personne vivante. Cela va d'un nom, d'une adresse e-mail ou d'un numéro de téléphone jusqu'à une photo ou une liste de commandes passées. Comme le filet est aussi large, la loi ne vous demande que trois choses simples. Vous gardez l'information pour une raison claire, vous la protégez, et vous la remettez ou l'effacez quand la personne le demande.

Ce que tout le monde retient, ce sont les 72 heures. Si des informations personnelles sont perdues ou volées et que cela peut nuire à quelqu'un, vous avez trois jours pour prévenir l'autorité de protection des données. Le délai part du moment où vous le constatez, pas du moment où vous avez fini de comprendre. Vous prévenez aussi les personnes concernées quand le risque est élevé, et ce délai est court exprès. C'est pourquoi décider aujourd'hui qui prend cette décision chez vous compte plus qu'un classeur de procédures.

Vous n'avez pas besoin d'être en Europe, car la loi suit la personne et non l'entreprise. Une boutique du Caire qui expédie en Allemagne est concernée, et une clinique de Dubaï avec des patients britanniques l'est aussi. C'est pareil pour une école qui vend des cours à des familles en France. En revanche, si vous ne servez que des clients de votre pays et ne visez jamais l'Europe, vous êtes en dehors. Et un site qu'un Européen peut visiter par hasard ne change rien à cela.

Votre pays a sans doute sa propre loi aujourd'hui, et elles se ressemblent beaucoup. La loi égyptienne 151 de 2020 demande le consentement, du soin et une personne responsable nommée. L'Arabie saoudite et les Émirats ont leur version, et la Turquie a la sienne depuis 2016. Les mots changent, mais les habitudes demandées restent les mêmes. Collecter moins, garder moins longtemps, bien fermer à clé, et savoir dire qui peut regarder.

En pratique, c'est une question de construction plus que de droit. Quand Linkysoft démarre une application web, nous demandons quels champs sont vraiment utiles, car un champ jamais collecté ne peut pas fuir. La partie pénible à ajouter après coup, c'est de supprimer un client entièrement, dans chaque table, chaque rapport et chaque sauvegarde. Linkysoft place donc cela et la règle des 72 heures dans le plan de cybersécurité, pas dans les papiers de fin de projet.