Comment rendre mon plugin GDPR compatible?
J'ai un plugin hébergé dans wordpress.org. Le plugin consiste en un formulaire de requête à soumettre par les visiteurs dans le front-end. J'ai suivi la mise à jour 4.9.6 concernant le GDPR. J'ai également ajouté l'exportateur et la gomme à effacer dans mon plugin.
Dois-je ajouter quelque chose à mon plugin? Dois-je ajouter quelque chose dans mon formulaire de demande pour le rendre compatible avec le GDPR?
Cela a peu à voir avec le développement WordPress en tant que tel, mais depuis que je parle de la protection de la vie privée en ligne depuis plus de 25 ans, je répondrai avec plaisir. Jetons un coup d'oeil aux principes :
Base légale. Puisque vous collectez des données avec un formulaire, il est clair quelles sont les données collectées et à quoi elles servent. Vous pouvez ajouter deux notes facultatives à renseigner dans le backend "à quoi allons-nous utiliser vos données" et "quelles données stockons-nous?", Afin que vos utilisateurs soient plus conscients de leurs obligations envers les visiteurs de leur site Web. Ces notes pourraient également être affichées dans le frontend.
Responsabilité, protection des données et pseudonymisation. Ce sont principalement des problèmes de sécurité que votre plugin ne peut pas résoudre, à part peut-être appliquer une cryptographie lors du stockage des informations. Mais cela signifierait que les données ne peuvent être consultées que via votre plugin.
Droit d'accès. C’est aussi quelque chose qui pourrait être ajouté au formulaire sous forme de note: dites au visiteur ce qu’il peut faire pour accéder à ses informations/les effacer une fois rempli le formulaire.
Droit d'effacer. Voir au dessus. Aussi: votre plug-in fournit-il uniquement des options d'effacement manuel ou programmé? Le plug-in pourrait aider à réduire la charge sur les utilisateurs si les données antérieures à, disons, un an sont automatiquement supprimées.
Registre des activités de traitement. Votre plugin permet-il aux utilisateurs de modifier les données collectées? Dans ce cas, stocke-t-il les anciennes valeurs? Cela peut paraître un peu excessif pour un formulaire simple, mais il peut être sage de garder trace des modifications (telles que les dossiers médicaux). Le traitement implique également d'autres tâches que les utilisateurs effectuent avec les données collectées, mais ce n'est pas votre responsabilité en tant que développeur de plug-in.
Agent de protection des données et violations. Pas ta responsabilité.
Donc, vous avez surtout terminé. L’ajout le plus important pourrait consister à inclure une note sur votre page d’options expliquant le GDPR aux utilisateurs de votre plug-in et leur permettant de transmettre des informations sur leurs droits aux visiteurs de leur site Web. À ce stade, vous avez intégré les outils techniques nécessaires à votre plug-in, mais vous devez également prendre en charge la transparence.
Update : exemples de textes
- Nous utiliserons votre nom et votre adresse électronique [quelles données nous stockons] uniquement pour vous envoyer au maximum une lettre d’information par mois [exactement pour quoi nous le conservons]. Chaque bulletin d’information comprendra un lien vous permettant de vous désabonner [droit d’effacer].
- Nous stockons les données dans le questionnaire avec votre nom et vos coordonnées [quelles données nous stockons] à des fins de recherche [exactement pour quoi nous les stockons]. Votre nom et vos coordonnées ne sont enregistrés que pour que nous puissions vous contacter afin de clarifier le questionnaire. Nous effaçons automatiquement votre nom et vos informations de contact après trois mois [informations de suppression, après quoi les autres données ne sont plus des données à caractère personnel, à moins que le questionnaire ne demande des informations personnelles]. Les données du questionnaire seront conservées aussi longtemps que nécessaire pour la recherche.
Qu'est-ce qui constitue des données personnelles?
Le RGPD s’applique aux "données personnelles", à savoir toute information concernant une personne identifiable qui peut être identifiée directement ou indirectement, notamment par référence à un identifiant. Cette définition prévoit un large éventail d'identifiants personnels pour constituer des données personnelles, y compris un nom, un numéro d'identification, des données de localisation ou un identifiant en ligne, reflétant les changements technologiques et la manière dont les organisations collectent des informations sur les personnes.
Que devriez-vous faire en tant que dev?
Demandez-vous vous-même quelles données vous allez stocker et est-ce vraiment nécessaire. Si vous devez stocker des données personnelles, ajoutez des fonctions pour lire ces données et les envoyer à un client (personne identifiable), ainsi qu'une fonction permettant de supprimer les données d'un client. Si vous détruisez des données personnelles, pensez également à leur codage.
Traitez consciemment avec les données des clients, des visiteurs et réfléchissez à la lecture, à la suppression et au codage. Je veux dire que cela devrait penser dans la bonne direction pour obtenir un plugin solide dans le sujet du GDPR.
Selon les règles GDPR, vous devez recevoir le consentement explicite et positif des utilisateurs pour collecter, traiter et utiliser leurs données personnelles (nom, numéro de téléphone, adresse email, données de paiement, etc.).
Donc, pour les formulaires Web dont vous avez besoin:
- demander le consentement de l'utilisation de données personnelles;
- ajouter une double entrée;
- ajoutez une case à cocher d'acquittement à la fin du formulaire.
Ces étapes aident votre plugin à être conforme à GDPR. En outre, voici une liste de contrôle de conformité GDPR créée par la société avec laquelle je travaille et que vous pouvez utiliser dans d'autres projets.