Guide de MarTech sur le RGPD : le règlement général sur la protection des données

Lorsque l'Union européenne a adopté son règlement général sur la protection des données en 2018, la loi a été annoncée comme un changement de jeu en matière de confidentialité qui inaugurerait une nouvelle ère de consentement autour de la collecte de données en ligne et mettrait le droit de protéger les informations personnelles directement entre les mains des individus.

Il visait également à normaliser les lois sur la confidentialité dans les pays membres de l'UE. Le RGPD éliminerait la nécessité pour chaque pays de rédiger ses propres réglementations, tout en obligeant toute entreprise, quel que soit son emplacement, qui commercialise des biens ou des services aux résidents de l'UE à se conformer à la loi.

Mais cinq ans plus tard, l'application de la loi conteste la loi du bassin versant, avec des plaintes qui ont été déposées le jour où le RGPD a frappé – alléguant que Facebook, Instagram, WhatsApp et Google ont forcé les utilisateurs à donner des informations personnelles sans consentement approprié – toujours en cours devant le tribunal système.

Pendant ce temps, la technologie continue d'évoluer à un rythme auquel le système juridique glacial ne peut tout simplement pas suivre (cet article sur la conformité au RGPD et les outils d'IA comme ChatGPT aide à brosser un tableau des défis à venir).

Cette déconnexion, ainsi que les rumeurs sur une application laxiste, en particulier dans les pays où les grands fournisseurs de technologies ont leur siège social, ne sont que quelques-unes des raisons pour lesquelles les régulateurs de l'UE cherchent maintenant à affiner la façon dont le RGPD est administré.

Cet article examinera de plus près ces changements de procédure - ainsi que d'autres réglementations sur la confidentialité des données dans la trémie, passera en revue certaines des amendes les plus importantes de la loi à ce jour et examinera ce que les spécialistes du marketing doivent savoir alors que nous nous dirigeons vers la seconde moitié de 2023 .

Changements de procédure à l'horizon

Plus tôt cette année, la Commission européenne a annoncé qu'elle chercherait à rationaliser la manière dont les autorités de protection des données de l'UE travaillent ensemble lors de l'application du RGPD dans les affaires transfrontalières. « Cela favorisera le bon fonctionnement des mécanismes de coopération et de règlement des différends du RGPD », a noté la Commission. L'initiative - appelée Règles de procédure d'exécution - vise à résoudre une multitude de problèmes, de la manière dont les plaintes GDPR sont traitées à la durée des procédures elles-mêmes. Et lorsqu'un consensus ne peut être atteint, les règles d'application proposées « clarifient » les aspects procéduraux du règlement des différends.

Les critiques ont déclaré que les nouvelles règles d'application sont légères sur les détails, mais avec près de 800 affaires en cours en vertu du RGPD, une réforme procédurale est essentielle. Comme le dit le NOYB, ou Centre européen pour les droits numériques, une organisation à but non lucratif basée à Vienne, en Autriche, le RGPD n'est appliqué qu'en théorie, les entreprises technologiques trouvant des moyens de bloquer les procédures, de faire appel des décisions et de contourner les amendes. ("NOYB" est l'abréviation de "ce n'est pas votre affaire".)

Influence du RGPD aux États-Unis

Aux États-Unis, des lois nouvelles ou modifiées sur la confidentialité des données sont en vigueur en Virginie, en Californie, au Colorado, au Connecticut et en Utah, avec des dates d'application allant du 1er janvier de cette année (Virginie) au 31 décembre (Utah), avec la Californie, le Colorado , et Connecticut à compter du 1er juillet (en Californie, le California Privacy Rights Act (CPRA) modifie le California Consumer Privacy Act (CCPA)).

En outre, neuf autres États ont proposé des lois qui sont toujours en suspens, mais les spécialistes du marketing doivent anticiper leur promulgation éventuelle.

Ces lois sont remarquables dans le contexte actuel car, à l'exception de la Californie, elles "adaptent toutes la terminologie" du RGPD, mais divergent dans la manière dont elles sont appliquées, avec des procureurs de district, des procureurs généraux et, dans le cas de la Californie, le California Agence de protection de la vie privée, tous dans le mélange d'application.

Pour les spécialistes du marketing, la gestion des cookies sera d'une importance capitale car les marques/sites Web continuent de comprendre comment les droits des consommateurs concernant les données sensibles sont protégés par les lois de l'État.

Au niveau fédéral, il y a un effort bipartite pour établir une nouvelle loi sur la protection de la vie privée - appelée American Data Privacy and Protection Act (ADPPA) - qui créerait une norme nationale autour des droits individuels. Et le 1er mars, le comité de la Chambre sur l'énergie et le commerce a tenu une audience sur le projet de loi.

Bien qu'aucun vote n'ait eu lieu, les groupes de protection de la vie privée et d'autres parties prenantes notent que le désir d'une législation fédérale sur la protection de la vie privée existe et pourrait finalement se traduire par des actions.

Creusez plus profondément : seulement 11 % des entreprises américaines se conforment pleinement à CCPA loi sur la vie privée

Le RGPD inflige de lourdes amendes

De retour en Europe, mis à part les problèmes d'application du RGPD, certaines plaintes ont entraîné de lourdes amendes, infligées à des entreprises comme Meta, Amazon et Google.

L'année a commencé avec une amende de 413 millions de dollars contre Meta pour violation du RGPD par Facebook et Instagram. Livrées par la Commission irlandaise de protection des données (DPC), qui, incidemment, a fait l'objet de nombreuses critiques pour la façon dont elle traite les plaintes GDPR, les actions de l'agence ont confirmé une décision du Comité européen de la protection des données selon laquelle la «nécessité contractuelle» n'est pas une raison appropriée pour diffuser des publicités comportementales. (Les publicités comportementales font référence aux publicités en ligne ou aux messages marketing qui sont diffusés aux consommateurs en fonction de leur historique de recherche).

Pendant des années, Meta avait intégré son accord de consentement de l'utilisateur dans les conditions contractuelles de services de ses applications, ce qui obligeait les utilisateurs à accepter la collecte de données s'ils souhaitaient utiliser les plates-formes.

L'amende de début janvier de Meta est intervenue dans la foulée d'une année 2022 très coûteuse pour l'entreprise, qui a vu des sanctions infligées à hauteur de plus de 800 millions de dollars. On lui a également dit qu'il avait trois mois pour mettre en place des mesures pour demander aux utilisateurs l'autorisation de diffuser des publicités comportementales ; fin mars, le Wall Street Journal a annoncé que Meta permettrait aux utilisateurs en Europe de se désabonner des publicités ciblées. Mais la société ne facilite pas les choses, obligeant les utilisateurs à soumettre un formulaire en ligne indiquant leurs objections.

Outre les amendes Meta, d'autres sanctions notables du RGPD incluent :

• 785 millions de dollars contre Amazon, décidé en juillet 2021 par l'autorité luxembourgeoise des données. Cette décision - à ce jour la plus lourde sanction prévue par le RGPD, et qui se concentre sur la manière dont l'entreprise traite les données personnelles - est actuellement en appel.
• 237 millions de dollars contre WhatsApp (le service de messagerie appartenant à Meta), décidé en septembre 2021 par DPC, ce qui a marqué l'aboutissement d'une enquête de trois ans sur la manière dont l'application partageait les données des utilisateurs avec Facebook.
• 52 millions de dollars contre le géant de la recherche Google, une première amende GDPR (janvier 2019) qui a ensuite été confirmée en appel devant un tribunal français. La Commission nationale de protection des données de ce pays a déterminé que Google n'était pas en conformité avec les directives de transparence des données du GDPR et que l'entreprise n'avait pas suffisamment précisé comment les données des utilisateurs étaient collectées et utilisées pour les publicités ciblées.

Ce que les spécialistes du marketing doivent savoir

Deux mots doivent figurer en tête de liste de tous les spécialistes du marketing en matière de RGPD : conformité et consentement. La conformité, bien sûr, fait référence à la nécessité pour les entreprises disposant de toute sorte de présence sur le Web qui commercialisent auprès de clients dans l'UE de comprendre la réglementation, de se tenir au courant des changements au fur et à mesure qu'ils se produisent et d'être en mesure de réagir rapidement lorsque des problèmes surviennent.

Bien sûr, la nécessité pour les spécialistes du marketing de comprendre les types de données que leurs entreprises collectent et, plus important encore, comment ces données sont traitées, stockées et le type d'informations personnelles sensibles qu'elles contiennent est tangentielle à cela. La conformité dépend également de la collecte des données nécessaires uniquement.

La priorité des marketeurs devrait être l'autre mot clé : le consentement. D'une manière générale, les entreprises sont plus susceptibles de rester en conformité avec le RGPD lorsqu'elles ont obtenu l'autorisation appropriée pour collecter ou utiliser les informations personnelles des utilisateurs. Cela peut sembler évident, mais le RGPD a une définition spécifique du consentement, qui est « toute indication librement donnée, spécifique, informée et sans ambiguïté » que le sujet accepte de permettre aux sites Web de collecter et de traiter leurs données personnelles.

Sans surprise, les spécialistes du marketing ont un rôle important à jouer, non seulement dans la compréhension, mais aussi dans la mise en conformité avec le RGPD et les règles et réglementations américaines qu'il a influencées. Alors que le paysage réglementaire continue d'évoluer, il en va de même pour le désir des consommateurs de protéger leur vie privée.

Au cours des cinq années où il a été publié, le RGPD a prouvé que la protection des données est une responsabilité d'entreprise. Les entreprises qui traitent les données avec soin et montrent aux utilisateurs que leurs préoccupations concernant la confidentialité en ligne sont fondées auront un avantage sur leurs concurrents moins prudents.

Creusez plus profondément : créez confiance , gagner des ventes