Pour le traitement dans le domaine social, le consentement au traitement des données personnelles n’est généralement pas requis. S’il existe une base pour le traitement des données à caractère personnel, il n’est pas nécessaire de demander le consentement.
Si votre organisation doit demander un consentement pour le traitement de données à caractère personnel, le format du document à signer ou à utiliser devra répondre à certains critères.
Si, en tant que conseiller, vous devez obtenir le consentement de la personne concernée pour cause de violation de la confidentialité, les points suivants peuvent vous aider à formuler le document.
Que doit contenir le consentement ?
- La nature des données à caractère personnel à traiter.
Ex : nom, prénom, adresse e-mail,…
Dans ce cadre, nous devons respecter minimisation des données ce qui signifie que les données redondantes ne doivent pas être demandées.
- Responsable du traitement des données.
Il s’agit de la personne avec laquelle il y aura une communication concernant les règles de protection de la vie privée.
- Quelle est la finalité du traitement ?
Pourquoi traitons-nous des données à caractère personnel et quelle est leur quantité ?
- À qui appartiennent les données personnelles?
Il convient d’énumérer les données à caractère personnel à traiter.
- Qui est le destinataire des données à caractère personnel ?
Votre organisation traitera-t-elle ultérieurement ces données et y a-t-il d’autres destinataires inconnus de la personne concernée ou ces données seront-elles revendues ?
- Mesures techniques et organisationnelles.
L’organisation doit prouver les mesures qu’elle a prises pour éviter autant que possible la perte, le vol ou la fuite de données.
- Quelle est la durée de conservation?
La procédure légale a-t-elle été appliquée ou les données seront-elles conservées jusqu’à ce que le consentement soit retiré ?
- Droits des personnes concernées.
Envisagez les droits d’accès ou de rectification, d’opposition, d’oubli, de portabilité, ainsi que la notification aux personnes concernées.
- Où s’adresser pour déposer une plainte?
Indiquer clairement à qui s’adresser pour déposer une plainte et préciser l’adresse de l’autorité nationale.
- Le consentement.
Préciser les données à caractère personnel pour lesquelles le consentement est demandé lorsque la personne concernée certifie également que le consentement a été donné.
Passez le test pour savoir dans quelle mesure votre organisation est déjà conforme à la législation GDPR.
Quand faut-il demander la permission ?
Vous pouvez demander l’autorisation dans plusieurs cas. La clause de consentement peut être appliquée en ligne et hors ligne.
Par exemple, vous pouvez demander l’autorisation d’envoyer une lettre d’information par l’intermédiaire du site web d’une entreprise, un psychiatre peut demander l’autorisation de transférer des dossiers médicaux à un médecin traitant ou vous pouvez vouloir publier une photo d’une autre personne sur les médias sociaux.
Tant que l’autorisation est GRATUITE!
La personne concernée doit avoir le choix de refuser le consentement ou de l’accepter, et elle ne peut pas si ;
- Si la personne concernée ne dispose pas d’une option de refus,
- Si le consentement n’est pas négociable,
- Si aucun consentement distinct n’est demandé pour le traitement d’autres données à caractère personnel,
- Si le refus est préjudiciable à la personne concernée,
- S’il existe une mauvaise relation entre le traitement et la personne concernée.
Le consentement doit être clairement informé!
La personne concernée doit être bien consciente de ce pour quoi elle donne son consentement, ce qui n’est possible que si celui-ci est communiqué de manière correcte, complète et dans un langage écrit compréhensible.
Vous pouvez également obtenir les données à caractère personnel à traiter non pas directement auprès de la personne concernée, mais par l’intermédiaire d’un tiers, et vous êtes tenu de communiquer cette information à la personne concernée dans un délai raisonnable.
L’autorisation doit être spécifique!
La personne concernée, le client ou le patient doit être informé de la finalité du traitement et, s’il s’agit de finalités multiples, il doit avoir la possibilité de donner son consentement pour chaque élément séparément.
Le consentement doit être sans ambiguïté!
Ainsi, la personne concernée ne doit pas être trompée par les actions astucieuses du sous-traitant et il ne doit pas y avoir d’ambiguïté quant au consentement.
Qu’est-ce qui ne peut pas être fait par consentement?
- Via un site web proposant déjà des cases à cocher par défaut
- Qu’il faut décocher des cases pour refuser l’autorisation
- Déclarer que nous collectons des cookies sans plus d’explications
Quelle est la durée de validité du consentement ?
La période de validité du consentement donné dépend principalement de la finalité pour laquelle le consentement a été donné en premier lieu et n’a pas vraiment de durée légale spécifique prévue par la loi.
Il appartient au responsable du traitement de vérifier s’il existe toujours une base juridique suffisante pour conserver certaines données à caractère personnel, et la personne concernée devrait pouvoir se désinscrire (opt-out) aussi facilement qu’elle a pu s’inscrire (opt-in).
