Une page entreprise est un traitement de donnees
Vous avez une page sur Facebook, Instagram ou LinkedIn. C’est logique - c’est la que se trouvent vos clients. Mais ce que beaucoup d’entrepreneurs ignorent : en creant et en gerant cette page entreprise, vous partagez la responsabilite des donnees personnelles que la plateforme collecte aupres de vos visiteurs.
Le RGPD est clair a ce sujet, et la Cour de justice europeenne l’a confirme en 2018.
L’arret Wirtschaftsakademie
En juin 2018, la Cour de justice europeenne a statue dans l’affaire Wirtschaftsakademie Schleswig-Holstein (C-210/16) que l’administrateur d’une page entreprise Facebook est responsable conjoint avec Facebook pour le traitement des donnees personnelles des visiteurs.
Pourquoi ? Parce qu’en tant qu’administrateur de page, vous :
- Choisissez deliberement une plateforme qui traite des donnees personnelles pour generer des statistiques
- Definissez des parametres qui determinent quelles donnees sont collectees (public cible, filtres demographiques)
- Tirez profit des statistiques (Insights) que la plateforme fournit sur vos visiteurs
- Influencez le traitement en creant et en configurant votre page
Le fait que vous n’ayez pas d’acces technique aux donnees personnelles brutes est sans importance. Vous en beneficiez et vous avez contribue a initier le traitement.
Que signifie “responsable conjoint” ?
L’article 26 du RGPD impose aux responsables conjoints de convenir de leurs responsabilites respectives en matiere d’obligations RGPD. Les grandes plateformes ont redige des documents a cet effet :
- Facebook/Instagram (Meta) : Page Insights Controller Addendum
- LinkedIn : Joint Controller Addendum pour Page Insights
Ces documents attribuent la majeure partie de la responsabilite operationnelle a la plateforme. Mais ils ne vous liberent pas entierement. En tant qu’administrateur de page, vous restez tenu de :
- Informer les visiteurs du traitement des donnees
- Inclure le traitement dans votre registre des traitements
- Disposer d’une base juridique pour votre part du traitement
Que devez-vous faire en pratique ?
1. Informations sur la vie privee sur votre page
Ajoutez des informations sur le traitement des donnees personnelles a votre page entreprise. Sur Facebook, vous pouvez le faire dans la section “A propos” ou via un lien vers votre politique de confidentialite. Sur LinkedIn, vous pouvez inclure un lien vers votre politique de confidentialite dans le profil de l’entreprise.
Mentionnez au minimum :
- Que vous etes responsable conjoint avec la plateforme
- Ou les visiteurs peuvent trouver votre politique de confidentialite
- Comment les visiteurs peuvent vous contacter pour des questions relatives a leur vie privee
2. Mettre a jour votre registre des traitements
Incluez vos pages entreprise sur les reseaux sociaux dans votre registre des traitements. Par page :
- Finalite : communication d’entreprise, marketing, service client
- Categories de donnees : statistiques de visiteurs, donnees d’interaction, messages
- Base juridique : interet legitime (communication d’entreprise et marketing)
- Responsable conjoint : Meta / LinkedIn / plateforme
- Reference a l’addendum Controller de la plateforme
3. Mettre a jour votre politique de confidentialite
Mentionnez dans votre politique de confidentialite generale que vous gerez des pages entreprise sur les reseaux sociaux et que vous en etes responsable conjoint avec la plateforme. Renvoyez a la politique de confidentialite de la plateforme pour les details de leur traitement.
4. Soyez vigilant avec les Insights
Les donnees Insights que vous recevez sont anonymisees ou agregees - vous ne voyez pas de profils individuels. Mais le fait que la plateforme genere ces statistiques sur base de donnees personnelles vous rend en partie responsable. Soyez-en conscient et n’utilisez pas les donnees Insights a des fins non documentees dans votre registre des traitements.
Erreurs frequentes
- Aucune information sur la vie privee sur la page entreprise
- Ne pas inclure la page entreprise dans le registre des traitements
- Penser que la plateforme gere tout - la plateforme gere ses propres obligations, pas les votres
- Ne pas traiter les messages clients via les reseaux sociaux comme un traitement de donnees personnelles - quand un client vous envoie un message prive contenant des informations personnelles, vous traitez des donnees personnelles
Pas de raison de paniquer
Une page entreprise sur les reseaux sociaux n’est pas un probleme tant que vous connaissez vos obligations. Vous n’avez pas besoin de supprimer votre page. Vous n’avez pas besoin de rediger des contrats compliques, car les plateformes ont deja prepare les addendums. Vous devez surtout etre transparent envers vos visiteurs et vous assurer que votre registre des traitements est complet.
GDPRWise vous aide a documenter tous vos traitements, y compris vos pages sur les reseaux sociaux. Registre des traitements complet, genere automatiquement.