Le consentement
- Qu'il s'agisse de HITRUST, RGPD, CCPA ou de tout autre règlement, il stipule que les données personnelles des clients ne peuvent être stockées par l'organisation sans le consentement écrit du client/consommateur.
- Les organisations peuvent y parvenir par de nombreuses méthodes différentes :
- Dans les pays où la loi exige des copies papier, les organisations peuvent avoir des liens de téléchargement pour les formulaires que les clients peuvent lire, signer et ensuite partager avec les organisations en tant que consentement.
- L'autre méthode la plus acceptée et la plus utilisée consiste à disposer d'une page d'avertissement couvrant toutes les conditions nécessaires au consentement concernant le stockage des données ou des cookies du site web et d'une case à cocher d'acceptation qui, une fois cliquée, fera office de consentement formel de l'utilisateur.
- Il est recommandé que les termes incluent les paramètres exacts des données IIP qui seront saisies et stockées. Il devrait également inclure des indications sur la manière dont les données seront protégées et donner un bref aperçu des contrôles qui garantiront que les données sont conservées avec une intégrité intacte et sans perte d'accès non autorisé ou vol.
- L'organisation doit également fournir l'assurance que les données ne seront pas partagées avec d'autres entités sans le consentement explicite des clients.
- L'organisation doit disposer en interne d'un plan bien documenté et mis en œuvre pour assurer la sécurité des données PII qui seront au repos dans l'environnement organisationnel.
- La politique de conservation des données et les directives basées sur les exigences réglementaires, légales et autres du droit foncier doivent également être documentées et mises en œuvre.
Le droit d'être oublié
- Le fait que les clients donnent leur consentement ne signifie pas nécessairement que les organisations ont un droit général de conserver les données avec elles pour toujours.
- Les clients conservent le droit d'exercer leur "droit d'être oublié", ce qui signifie simplement qu'ils souhaitent que toutes leurs références de données d'IIP auprès de l'organisation soient supprimées.
- L'article 17 de la réglementation RGPD est le "Droit d'être oublié" et est probablement l'un des articles les plus discutés de tout le règlement RGPD.
- Les organisations doivent s'assurer qu'elles ont un lien sur le site web, ou une adresse e-mail pour que tout client puisse demander et exercer son "droit à l'oubli".
- Chaque organisation doit disposer des éléments suivants pour répondre à une telle demande:
- automatisée ou manuelle aux clients accusant réception de la demande et informant du délai prévu pour l'effacement.
- disposer d'une politique et d'une procédure documentées permettant d'identifier et d'obtenir toutes les données liées à une personne spécifique à partir du stockage actif ainsi que du stockage de sauvegarde.
- disposer d'une politique et d'une procédure documentées pour la suppression sécurisée de ces données IIP, de sorte qu'elles ne puissent pas être récupérées après la suppression
- Des procédures de communication avec les clients après la suppression pour les informer du succès de la suppression de leurs données.
- Après avoir mentionné les meilleures pratiques susmentionnées, je voudrais souligner qu'en fonction des réglementations applicables selon les juridictions, il existe certaines exceptions et exemptions aux exigences relatives au "consentement" et au "droit d'être oublié".