Les deux vont de pair

1. En matière de données, les bonnes pratiques instaurées par la Cnil ont formé plusieurs générations de bons élèves, habitués à appliquer ses directives. Mais, dorénavant, il leur faut aller plus loin. En premier lieu, les entreprises procédant au traitement de données personnelles n’auront plus à se déclarer auprès de la Cnil. Plus largement, elles se conformeront au concept de “privacy by design” contenu dans l’article?25 du règlement, lequel impose de prévoir la protection des données personnelles en première étape et en amont de la conception d’un produit ou d’un service. Ainsi, un fabricant d’objets connectés doit penser au stockage des données collectées, au protocole de cryptage qu’il va utiliser ou encore à leur anonymat. Dans cette chaîne d’information, la Cnil garde un rôle, celui de contrôleur. 2. Deuxième étape, la nomination au sein des entreprises d’un délégué à la protection des données. Une démarche facile dans les grandes entreprises bien structurées qui disposent déjà d’une personne s’assurant de la conformité des décisions prises par rapport à la législation mais qui peut toutefois poser problème dans les plus petites structures. 3. Troisième point, d’ordre informatique, imposé par l’article?30 qui prévoit que les entreprises de plus de 250 salariés tiennent un registre des traitements de données réalisés. Ce registre, consultable par la Cnil, devra comporter, notamment, le nom et les coordonnées de la personne en charge du traitement de données, les objectifs des opérations de traitement réalisées, les destinataires des données à caractère personnel qui auront été communiquées… Si une entreprise subit une violation de données à caractère personnel, l’article?33 signifie l’obligation d’en informer l’autorité de contrôle. 4. Enfin, un droit à la portabilité des données personnelles est créé dans l’article20. Le consommateur se voit, ainsi, en droit de réclamer le transfert des données (historique de mails par exemple) le concernant vers la concurrence s’il le désire et si cela est techniquement possible. Attention car le non-respect de ces nouvelles règles pourrait entraîner une amende de 2 à 4% du chiffre d’affaires. Un challenge programmé Les réactions face à ce nouveau défi pour les distributeurs sont diverses. “La RGPD va avoir un rôle important car elle va remettre le consommateur au centre de ses données. C’est, en effet, lui qui va être acteur, va connaître les données collectées et à quoi elles vont servir. Par exemple, l’adresse mail pour une newsletter ou des opérations de mailing, etc.”, note Éric Leyval, directeur mission en charge du retail chez Comarch. Ainsi dans la RGDP, le client renseigne et valide ses informations. Il gagne en pouvoir mais, également, en confiance, une des autres missions du règlement, “puisqu’il y a toujours des réticents tout comme de jeunes générations qui ne sont pas conscientes que laisser leurs coordonnées sur des réseaux sociaux peut être utilisé à de mauvaises fins”, complète-t-il. “Cette obligation va servir d’image de marque car les clients attendent d’être protégés et plus de transparence. Au final, il se présente comme un nouvel argument de vente pour un acte d’achat”, se réjouit Romain Mucelli, directeur des ventes chez Eudonet. Reste à informer la population de ce qui l’attend. Certaines enseignes ont commencé, mais beaucoup de travail reste à parcourir. Un défi organisationnel et de communication s’annonce, ainsi, pour les enseignes. “Pour celles qui avaient déjà de bonnes pratiques, l’opération peut être simple mais se transformer en grande catastrophe pour celles qui n’ont pas forcément la notion de customer centric”, conclut Michael Carbenay, directeur de Commerce Hub.

Les deux vont de pair

RGPD et CRM