Le guide d'orientation de la Conférence sur la protection des données (DSK) sur les services numériques (version 1.2, novembre 2024) fournit un aperçu complet des exigences légales pour les fournisseurs de ces services, notamment en ce qui concerne les dispositions de la loi sur la protection des données des services numériques de télécommunication (TDDG) et du règlement général sur la protection des données (RGPD). Nous avons résumé pour vous les points les plus importants.
Champ d'application de la TDDDG et délimitation par rapport au RGPD
La TDDDG réglemente la protection des Vie privée lors de l'utilisation d'équipements terminaux et contient des dispositions particulières relatives aux mesures techniques et organisationnelles ainsi qu'à Obligations d'information. En revanche, la RGPD le Traitement des données à caractère personnel. L'aide à l'orientation met en évidence les différents objectifs de protection des deux cadres réglementaires et décrit la manière dont ils s'imbriquent.
Un point central de l'orientation est la disposition de l'article 25 de la TDDDG, qui régit le stockage et l'accès aux informations dans les équipements terminaux - indépendamment de l'existence d'une référence personnelle. Cette disposition va au-delà de la RGPD au-delà, en assurant la protection des Intégrité des équipements terminaux.
Obligation de consentement et exceptions prévues à l'article 25 de la loi TDDDG
Le principe du consentement éclairé est au cœur de l'article 25 de la TDDDG. Selon ce principe, les informations sur les équipements terminaux ne peuvent être transmises qu'avec le consentement explicite de l'utilisateur. Consentement des utilisateurs finaux sont stockées ou récupérées. Ces Consentement doit répondre aux exigences strictes de la RGPD Elle doit être volontaire, informée, claire et révocable.
Il existe toutefois des exceptions, lorsque l'accès aux informations est obligatoire pour :
- effectuer la transmission d'un message (article 25, paragraphe 2, point 1, de la TDDDG),
- fournir un service numérique expressément demandé (article 25, paragraphe 2, point 2, de la TDDDG).
Le guide souligne que ces exceptions doivent être interprétées de manière restrictive et donne des exemples concrets, notamment concernant les cookies de sécurité ou les fonctionnalités de panier d'achat.
Exigences relatives aux bannières de consentement
Les bannières de consentement constituent un outil essentiel pour la mise en œuvre des dispositions légales. Le guide recommande une conception transparente qui offre à l'utilisateur une véritable possibilité de choix. Il est notamment fait référence aux points suivants :
- TransparenceToutes les finalités du traitement des données doivent être présentées de manière claire et compréhensible.
- Volontariat : l'option de ne pas Consentement doit être présentée de manière équivalente.
- Convivialité : un Révocation doit être aussi simple que Consentement être possible.
Les créations que les utilisateurs peuvent utiliser pour créer des "dark patterns". Consentement sont inadmissibles. Responsable doivent s'assurer que leurs bannières répondent aux exigences de la RGPD et de la TDDDG.
Conseil de lecture : Utilisation non conforme de Google Analytics : les exploitants de sites web doivent apporter des corrections à la suite d'un contrôle
Légalité du traitement des données à caractère personnel
Le site Traitement des données à caractère personnel dans le cadre des services numériques doit se faire sur l'une des Bases juridiques de l'article 6, paragraphe 1 RGPD par exemple sur :
- Consentement (let. a),
- Exécution du contrat (point b) ou
- intérêts légitimes (point f).
L'orientation montre toutefois que l'article 6, paragraphe 1, point f) RGPD n'est souvent pas suffisante dans la pratique, en particulier lorsqu'il est fait appel à des fournisseurs tiers qui poursuivent leurs propres objectifs. Les fournisseurs doivent s'assurer qu'il existe une base juridique effective pour chaque traitement de données.
Recommandations à l'intention des entreprises
Le guide de la DSK offre aux prestataires de services numériques des lignes directrices claires pour une exploitation de leurs offres conforme à la législation. Il souligne l'importance d'un niveau élevé de protection des données et invite à la prudence lors du recours à des prestataires tiers et de la conception des processus de consentement. Les entreprises devraient donc tenir compte des recommandations suivantes :
- Analyse et vérification : les entreprises devraient procéder à une analyse approfondie de leurs services numériques et vérifier s'ils sont conformes aux exigences de la loi TDDDG et du RGPD.
- Gestion du consentement : il est essentiel que les bannières de consentement soient conviviales, transparentes et conformes à la législation.
- Formation et sensibilisation: Les collaborateurs, notamment ceux des services informatiques et marketing, devraient suivre une formation sur les nouvelles exigences.
- Intégrer les délégués à la protection des données : Le responsable de la protection des données de l'entreprise devrait être impliqué dans tous les processus afin de garantir la conformité.
- Audits réguliers : les mesures de protection des données doivent être réexaminées régulièrement et adaptées aux nouvelles évolutions juridiques et technologiques.
La mise en œuvre des directives nécessite mesures techniques et organisationnelles, qui vont au-delà du simple respect des exigences légales minimales. Compte tenu des exigences réglementaires croissantes dans le domaine numérique, il est indispensable de réexaminer et d'adapter en permanence les mesures de protection des données.
Source : Guide d'orientation des autorités de surveillance à l'intention des prestataires de services numériques (Guide des services numériques) Version 1.2 (novembre 2024)
German 
English 
Italian 
French