Analytique, BI et plateformes de données

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2002/58/EC — ePrivacy for device access
• Regulation (EU) 2023/2854 — Data Act for cloud switching

Qui doit le désigner

Fournisseurs situés en dehors de l'Union offrant des services d'analytique ou de plateforme de données aux clients de l'UE. Lorsque la plateforme ne traite que ce que le client envoie, le fournisseur est un sous-traitant ; lorsqu'elle enrichit, compare ou forme sur les données des clients, elle devient un responsable du traitement à ces fins.

Seuils et exemptions

Pas de seuil. L'analytique produit intégrée dans l'application d'un client lit et écrit sur les appareils des utilisateurs finaux, ce qui entraîne l'exigence de consentement ePrivacy indépendamment de l'analyse RGPD.

Ce qui doit figurer sur l’étiquette

Non physique. L'identité du représentant dans l'avis de confidentialité et dans les conditions de traitement destinées aux clients, et une déclaration claire de ce que le fournisseur fait avec les données des clients à des fins propres.

Champs des marketplaces

Les acheteurs d'entreprises de l'UE exigent les termes de l'article 28, la liste des sous-traitants, l'analyse des transferts et, depuis la Loi sur les données, des conditions contractuelles sur le changement et la portabilité des données. Les acheteurs du secteur public exigent davantage.

Documents à conserver

Registres des sous-traitants de l'article 30(2), accords de traitement avec chaque client et sous-traitant, désignation de l'article 27, clauses contractuelles types avec évaluations d'impact sur les transferts, procédures de conservation et de suppression, et conditions de changement de la Loi sur les données.

Normes et essais

Non applicable, bien que les clients exercent des droits d'audit et s'attendent à des certifications telles que ISO 27001 ou SOC 2 comme preuves de soutien plutôt qu'en tant que conformité.

Exigences linguistiques

Documentation client dans la langue du marché ; avis aux utilisateurs finaux dans la langue des utilisateurs.

À partir de quand

Le représentant avant le début du traitement. Les dispositions de changement de la Loi sur les données seront mises en œuvre à partir de septembre 2025, avec des frais de sortie supprimés à partir de janvier 2027.

Durée de conservation

Données des clients uniquement pour la période contractée plus la fenêtre de suppression convenue, avec suppression vérifiée à la sortie.

En cas de manquement

Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires pour un traitement illégal, et 10 millions d'euros ou 2 % pour le représentant manquant. L'utilisation des données des clients pour former des modèles sans base est l'échec structurel récurrent dans ce secteur.

Qui contrôle

Autorités de protection des données à travers l'Union, et autorités nationales désignées pour la Loi sur les données.

Où se situe la limite

L'agrégation ne rend pas automatiquement anonymes : les ensembles de données de référence construits à partir des données des clients restent souvent des données personnelles, et leur utilisation à des fins propres du fournisseur nécessite sa propre base et transparence, pas seulement une clause contractuelle.

Les questions qu’on nous pose

Pouvons-nous utiliser les données des clients pour des références ?

Uniquement avec une base légale propre et transparence envers les personnes concernées. Une autorisation dans le contrat client ne suffit pas.

La collecte d'adresses IP est-elle un traitement ?

Oui. Les adresses IP sont des données personnelles entre les mains d'un service qui peut les lier à un utilisateur, ce que la Cour de justice a confirmé.