Dans un contexte où les solutions NoCode gagnent en popularité et permettent à un public plus large de créer des applications, la question de la conformité au Règlement Général sur la Protection des Données (RGPD) se pose.

RGPD et solutions NoCode sont-ils compatibles ? C'est le sujet de notre article !

Pour y répondre, on va s'intéresser ensemble aux principes fondamentaux du RGPD, puis explorer ensuite les bonnes pratiques à mettre en place pour conformer son projet NoCode au règlement européen.

‍

I. Le RGPD : rappel des enjeux et principes fondamentaux

‍

Définition : Le Règlement Général sur la Protection des Données (RGPD) est un texte européen entré en vigueur le 25 mai 2018. Il vise à responsabiliser les entreprises et organisations qui traitent des données. Le RGPD s'applique non seulement aux entreprises basées dans l'UE, mais également à celles situées en dehors de l'UE dès lors qu'elles traitent des données de résidents européens.

1.1 Les grands principes du RGPD

Le RGPD repose sur plusieurs principes fondamentaux qui guident la manière dont les données personnelles doivent être traitées :

• Minimisation des données : les entreprises ne doivent collecter que les données strictement nécessaires pour atteindre l'objectif poursuivi, et les conserver pour une durée limitée.
• Consentement éclairé : les personnes concernées doivent donner leur consentement libre, éclairé et explicite pour que leurs données soient traitées. Les entreprises doivent être en mesure de prouver qu'elles ont obtenu ce consentement.
• Transparence : les entreprises doivent informer clairement et simplement les personnes concernées sur l'utilisation de leurs données, les droits dont elles disposent et les moyens de les exercer.
• Droit d'accès : les personnes concernées ont le droit de demander aux entreprises de leur fournir les informations détenues à leur sujet et d'en obtenir une copie.
• Droit à l'oubli : les personnes concernées ont le droit de demander la suppression de leurs données lorsque leur traitement n'est plus justifié.
• Portabilité des données : les personnes concernées ont le droit de récupérer leurs données dans un format structuré et lisible par machine pour les transférer à un autre responsable de traitement.

‍
Et concrètement si on veut passer à l'action, la BPI propose des actions simples à mettre en place :

‍

1.2 Les responsabilités des acteurs

Le RGPD identifie plusieurs acteurs clés dans la chaîne de traitement des données personnelles, chacun ayant des responsabilités spécifiques :

• Le responsable de traitement : il détermine les finalités et les moyens du traitement des données personnelles. Il est responsable de la conformité des traitements qu'il effectue et doit mettre en œuvre des mesures techniques et organisationnelles pour assurer la protection des données.
• Le sous-traitant : il traite les données personnelles pour le compte du responsable de traitement. Il doit respecter les instructions du responsable et s'assurer de la conformité de ses propres traitements.
• Le délégué à la protection des données (DPO) : il est chargé de veiller au respect du RGPD au sein de l'entreprise et d'accompagner les responsables de traitement dans la mise en conformité de leurs opérations. La désignation d'un DPO est obligatoire pour certaines entreprises, notamment celles dont les activités principales consistent en des traitements à grande échelle de données sensibles ou de surveillance systématique des personnes.

‍

Ce n'est finalement pas le choix d'un outil NoCode qui détermine si votre activité est conforme ou non au RGPD mais l'usage et le traitement que vous faîtes des données recueillies par votre application.

Il est important de déconstruire certaines idées reçues, comme l'idée que l'hébergement des données en Europe suffit à garantir la conformité au RGPD. La conformité repose avant tout sur les pratiques mises en place et la manière dont les données sont utilisées, plutôt que sur la localisation des serveurs.

‍

II. Assurer la conformité RGPD avec les solutions NoCode : une question d'usage des données

‍

Voici quelques bonnes pratiques à mettre en place pour être en conformité au RGPD sur votre projet NoCode :

2.1 Travailler votre base de données

Vous devez être en mesure de justifier la collecte de n'importe quelle donnée par votre application. Nous vous conseillons de constituer un registre de toutes les données de votre application.

Pour cela la database ou le manuel technique de votre application peut être utilisée.

Au sein de votre registre, notez pour chaque donnée :

• L’objectif poursuivi (exemple : la fidélisation client) 
• Les champs reliés à chaque base de données
• Qui a accès aux données (exemple : service chargé du recrutement, etc.)
• La durée de conservation de ces données (durée durant laquelle les données sont utiles d’un point de vue opérationnel, et durée de conservation en archive).

Pour toutes vos données, vérifiez notamment que :

• Les données que vous traitez sont nécessaires à vos activités 
• Vous ne traitez aucune donnée dite « sensible » ou, si c’est le cas, que vous avez bien le droit de la traiter.

Cet exercice vous permettra également de ne pas alourdir votre base de données inutilement tout en vous aidant à réfléchir à une bonne structure de votre base de données pour une performance optimale.

‍

2.2 Assurer vous d'obtenir le consentement de vos utilisateurs

De même, le RGPD impose de recueillir le consentement de vos utilisateurs vis-à-vis de la collecte de leurs données. Vous devez donc informer vos utilisateurs :

Le support de collecte utilisé (formulaire, questionnaire, etc.) doit comporter des mentions d’informations suivantes :

• Pourquoi vous collectez les données 
• Ce qui vous autorise à traiter ces données (le « fondement juridique » : il peut s’agir du consentement de la personne concernée, de l’exécution d’un contrat,
• Qui a accès aux données
• Combien de temps vous les conservez ?
• Les modalités selon lesquelles les personnes concernées peuvent récupérer leurs données 
• Si vous transférez des données hors de l’UE (précisez le pays et l’encadrement juridique qui maintient le niveau de protection des données).

‍

2.3 Rédiger un manuel technique de votre application.

Enfin, un utilisateur peut à tout moment faire valoir ses droits sur les données que vous avez collectées sur lui. 

‍Les personnes dont vous traitez les données (clients, collaborateurs, prestataires, etc.) ont des droits sur leurs données: droit d’accès, de rectification, d’opposition, d’effacement, à la portabilité et à la limitation du traitement.

Nous vous recommandons de créer un process interne afin de faciliter la récupération des données et de réaliser un guide technique de votre application afin de justifier, traiter et mettre à disposition les données récoltées de vos utilisateurs aisément.

‍

Pour résumer :

Il est important de rappeler que la conformité au RGPD ne dépend pas uniquement de l'outil NoCode utilisé, mais surtout de l'usage et du traitement des données recueillies par l'application.

Pour assurer la conformité RGPD de votre projet NoCode, il convient de mettre en place certaines bonnes pratiques, telles que travailler votre base de données, obtenir le consentement de vos utilisateurs et rédiger un manuel technique de votre application. En ayant une approche structurée et rigoureuse, il est tout à fait possible de développer des applications NoCode respectueuses de la réglementation européenne en matière de protection des données personnelles.

‍

👉🏼 N'hésitez pas à nous contacter si vous avez des questions ou que vous souhaitez de l'aide pour mettre votre application NoCode en conformité avec le RGPD !