RGPD après 4 mois, est-ce important ? TL : DR oui.

Au cours des derniers mois, semaines ou jours (selon le niveau de procrastination) qui ont précédé la date d'application du 25 mai du RGPD, il y a eu une vague d'activités et de préparation dans les mondes de la technologie et du marketing.

Les politiques de confidentialité ont été modifiées et publiées, les listes d'e-mails ont été réactivées et certaines entreprises ont retiré l'intégralité de leurs produits de l'UE, craignant les sanctions que le RGPD pourrait encore imposer (amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, selon la valeur supérieur ).

Certains ont dit que cela allait être comme Y2K, une rafale de travail qui ne mènerait inévitablement à rien, et d'autres qui ont averti que ce nouveau régime changerait à jamais les mondes du marketing et de la confidentialité.

Nous sommes dans quatre mois maintenant, qui avait raison entre ces deux points de vue ?

À mon avis, il semble que chaque jour qui passe, les mondes de la confidentialité et du marketing ont subi un changement important et percutant. Mes raisons de descendre de ce côté de la clôture sont les suivantes :

1. Le GDPR est contagieux, aux États-Unis et dans le monde ;
2. L'exécution arrive;
3. Et la préparation a eu ses propres effets durables

PIBQuoi ?

Communément appelé par son acronyme, GDPR est le règlement général sur la protection des données de l'Union européenne. Il entrera en vigueur le 25 mai 2018. Nous avons produit de nombreuses informations sur le nouveau règlement, notamment des podcasts, des articles de blog, des livres électroniques et des webinaires. Regardez notre webinaire à la demande sur la conformité au RGPD et le marketing.

En bref, le RGPD :

• Le principe clé du RGPD donne aux consommateurs le contrôle de leurs données
• S'applique aux plus de 510 millions de citoyens de l'Union européenne à 28 pays, ainsi qu'à toute entreprise faisant affaire avec eux, quel que soit leur lieu de résidence
• Des amendes pouvant atteindre 4 % du total des revenus mondiaux pour les infractions

Le feu de la vie privée se propage

Depuis que le RGPD a été entièrement mis en œuvre, la Californie, le Vermont, le Japon, le Brésil et l'Inde sont tous en train d'adopter ou d'envisager une version d'une législation similaire. Tous ces efforts ont une portée et une application différentes. La portée du Vermont concerne uniquement les revendeurs de données. Et la loi brésilienne est aussi large que le GPDR.

Le thème de toute cette législation : les droits à la confidentialité des données. La confidentialité des données et les droits de l'individu sont quelque chose que différentes juridictions considèrent comme sacré et qui n'est pas correctement protégé par l'industrie.

Ce type de réglementation de la vie privée des entreprises technologiques est nettement absent depuis l'avènement d'Internet. Et ils ripostent du mieux qu'ils peuvent contre cette vague à venir, du moins aux États-Unis. Voici un extrait de la réponse d'AT&T à la législation californienne :

«La législation californienne et des initiatives similaires… menacent de créer un patchwork très problématique de réglementations sur la protection de la vie privée. … une réglementation de la confidentialité État par État conduirait tous les fournisseurs à adapter leurs pratiques… aux éléments les plus restrictifs des différentes lois des États.

Cette tactique de lobbying s'est avérée populaire auprès des types anti-réglementation à Washington, DC. Désormais, leur argument est moins efficace pour les géants de la tech, comme AT&T ou Google qui peuvent séparer le trafic en fonction des lignes d'état. Mais pour les petites entreprises technologiques, ce type de processus est difficile, voire impossible, sans une dépense massive et beaucoup trop de travail.

Face à ces défis, les petites et moyennes entreprises doivent choisir entre deux mauvais choix : se retirer des marchés avec ces restrictions ; ou faire en sorte que leurs produits et services soient conformes à la législation applicable la plus stricte.

L'application du RGPD arrive

Ce souffle que tu retiens, continue à le retenir, l'exécution arrive

Il y a eu une accalmie tranquille, semblable à l'œil d'un ouragan, depuis que le RGPD est entré en vigueur auprès des autorités de protection des données qui administrent la loi. Mais cela ne signifie pas qu'ils ne poursuivent pas et n'enquêtent pas activement sur les réclamations. Il n'y a pas encore eu d'action, mais comme l'ont confirmé plusieurs sources, cela est davantage dû à la nécessité d'embaucher et de former le personnel nécessaire qu'à l'inaction. Il a été rapporté que la DPA irlandaise avait près de 100 offres d'emploi en mai. C'est beaucoup de main-d'œuvre qui sera consacrée à l'application de la loi et aux enquêtes, une fois qu'ils seront tous embauchés, formés et intégrés.

L'intégration moyenne d'une personne occupant un poste d'application de la loi de cette nature (bien qu'il s'agisse en quelque sorte d'une première du genre) semble être de 3 à 6 mois. Et les enquêtes devraient prendre quelques semaines pour les petites violations, et des mois pour tout ce qui est majeur. Donc, cela fait 4 mois que GDPR est entré en vigueur et ne voir aucune action n'est pas si surprenant.

Découvrez cette dette technologique !

L'un des effets secondaires les plus intéressants de la préparation du RGPD pour les entreprises technologiques a été de découvrir une dette technique qui était passée inaperçue. Pour ceux qui ne sont pas familiers, la dette technique est l'équivalent en génie logiciel de votre prêt étudiant; il doit être remboursé et augmente avec les intérêts au fil du temps si vous ne travaillez pas dessus. La dette technologique est naturelle dans toute entreprise basée sur le code ou dépendante du code qui a souvent besoin de solutions rapides (un prêt à court terme) pour mettre un produit sur le marché.

Plusieurs des exigences du RGPD étaient très difficiles à trouver pour les ingénieurs en logiciel avec leurs produits actuels. Par exemple, les droits accordés par le RGPD (Accès, Portabilité, Correction, Effacement, Limitation) n'étaient souvent pas intégrés aux plateformes et aux applications.

Les insérer maintenant dans un produit a pris du temps et de l'énergie. Mais ce travail devrait pouvoir être utilisé pour des choses à venir, comme ePrivacy. De même, les politiques de sécurité et de confidentialité dès la conception, plus récentes et plus acceptées, que la technologie adopte largement, ont nécessité une grande partie du même travail. Les efforts autour du GDPR ont révélé la facilité, ou la difficulté, avec laquelle les systèmes de sécurité et de confidentialité conçus par une entreprise peuvent être mis en œuvre.

Les entreprises technologiques sont souvent réticentes à approfondir ces plongées dans leur code, car cela fonctionne souvent sans rapport avec la prochaine version du produit. Devoir le faire pour le RGPD, ou une future réglementation sur la confidentialité, est toujours un avantage ; du moins à long terme.