aeris22’s Twitter Archive—№ 122,594

Bon, on va reprendre depuis 0 mon pouet d’hier parce qu’il a été vachement mal compris… 😑
Permalink On twitter.com ♻️ 9 Retweets ❤️ 13 Favorites 2022 Oct 31 Mood -2 🙁

…in reply to @aeris22
On part de la base. Vous avez une base de données de prod contenant des données que vous avez collecté au motif de rendre le service que vous vendez. Donc base légale « nécessaire à l’exécution d’un contrat ».
Permalink On twitter.com ♻️ 1 Retweets ❤️ 3 Favorites 2022 Oct 31 Mood 0

…in reply to @aeris22
EDPB, dans ses lignes directrices 2/2019 a statué qu’un utilisateur signe un contrat pour une version donnée du logiciel. Si vous l’améliorez, c’est plus « nécessaire au contrat » edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines-art_6-1-b-adopted_after_public_consultation_fr.pdf
Permalink On twitter.com ♻️ 1 Retweets ❤️ 2 Favorites 2022 Oct 31 Mood 0

…in reply to @aeris22
Dans WP203, WP29 a statué qu’un traitement ultérieur ne peut être réalisé qu’en étant compatible avec les caractéristiques du traitement initial, à savoir sa spécificité mais surtout sa légitimité ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203_en.pdf
Permalink On twitter.com 2022 Oct 31 Mood 0

…in reply to @aeris22
En l’occurence la légitimité est l’article 6(1) du RGPD qui liste les bases légales. Vous ne pouvez donc pas réutiliser des données collectées sous une base légale pour un usage sur une base légale non compatible.
Permalink On twitter.com ❤️ 1 Favorite 2022 Oct 31 Mood 0

…in reply to @aeris22
Une base légale « obligation légale » ou « consentement » sera a priori compatible avec tout. (Soit vous n’avez pas le choix soit vous avez bien dit que vous étiez d’accord)
Permalink On twitter.com 2022 Oct 31 Mood -2 🙁

…in reply to @aeris22
Hormis cas spécifique (obligation légale, sauvegarde des intérêts de la nation), les 3 bases légales quotidiennes sont contrat, intérêt légitime ou consentement.
Permalink On twitter.com ❤️ 1 Favorite 2022 Oct 31 Mood 0

…in reply to @aeris22
Une obligation contractuelle ne peut donc se décliner qu’en intérêt légitime ou consentement. Aucune réutilisation de données ne peut se maintenir en obligation contractuelle.
Permalink On twitter.com 2022 Oct 31 Mood 0

…in reply to @aeris22
Et c’est logique de toute façon : votre traitement n’existait pas auparavant, il est donc assez tordu d’aller expliquer qu’en fait il est nécessaire 🤣
Permalink On twitter.com ❤️ 5 Favorites 2022 Oct 31 Mood 0

…in reply to @aeris22
Le problème du nouveau traitement est du coup qu’il tombe sous 2 bases légales, intérêt légitime ou consentement, qui nécessite **DANS TOUS LES CAS** une **NOUVELLE** communication à la personne concernée.
Permalink On twitter.com ❤️ 2 Favorites 2022 Oct 31 Mood 0

…in reply to @aeris22
Dans les 2 cas pour l’informer de manière spécifique et éclairée de la nature du nouveau traitement. Dans le cas de l’intérêt légitime, ça vous oblige aussi à mettre en œuvre le droit d’opposition. Dans le cas du consentement c’est sa collecte qui doit être faite à ce moment-là.
Permalink On twitter.com ❤️ 1 Favorite 2022 Oct 31 Mood 0

…in reply to @aeris22
Et c’est là que ça coince généralement dans vos process habituels et qui fait qu’ils sont illicites ! Jamais vous ne collectez cette information et jamais l’utilisateur n’est informée de cette nouvelle collecte et traitement !
Permalink On twitter.com ♻️ 2 Retweets ❤️ 1 Favorite 2022 Oct 31 Mood 0

…in reply to @aeris22
Dans le cas d’un intérêt légitime au départ, vous pouvez utiliser à nouveau cette base légale par la suite. Mais attention ! L’objectif visé doit être compatible avec celui initial !
Permalink On twitter.com 2022 Oct 31 Mood 0

…in reply to @aeris22
Si vous avez collecté vos données par exemple pour « suivi de la fraude » (oui, c’est interdit et illégal de le mettre sous « nécessaire à l’exécution du contrat »), vous ne pouvez pas magiquement en sortir vos KPI marketing ! Même si la base légale est la même !
Permalink On twitter.com ♻️ 1 Retweets ❤️ 4 Favorites 2022 Oct 31 Mood 0

…in reply to @aeris22
(Pour ceux qui veulent la ref pour la lutte contre la fraude : GL EDPB 2/2019) edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines-art_6-1-b-adopted_after_public_consultation_fr.pdf
On twitter.com ❤️ 4 Favorites 2022 Oct 31 Mood 0

…in reply to @aeris22
(Et pour ceux qui poserait aussi la question, la lutte contre la fraude bancaire n’est **pas** une obligation légale, étant donné qu’elle est exclusivement issue de décision de GIE-CB ou équivalent et non de décisions de juridictions nationales)
Permalink On twitter.com ♻️ 1 Retweets ❤️ 1 Favorite 2022 Oct 31 Mood 0

…in reply to @aeris22
Bref, comme d’habitude le RGPD n’interdit rien. Par contre il demande de revoir **profondément** les pratiques existantes.
Permalink On twitter.com ❤️ 2 Favorites 2022 Oct 31 Mood 0

…in reply to @aeris22
Vous voulez utiliser une base de données de production pour conduire des tests de debug ou d’upgrade de version ? La finalité est nécessairement soit intérêt légitime soit consentement et ne peut pas être l’obligation contractuelle.
Permalink On twitter.com 2022 Oct 31 Mood 0

…in reply to @aeris22
Vos données de prod sont sous l’obligation contractuelle. Vous ne pouvez pas taper **comme ça** dans la prod.
Permalink On twitter.com 2022 Oct 31 Mood 0

…in reply to @aeris22
Dans tous les cas vous devez informer vos utilisateurs de l’existence de ce traitement. Par exemple dans votre privacy policy (qui ne doit pas être inclu dans le contrat, justement parce que les 2 couvrent des périmètres différents).
Permalink On twitter.com 2022 Oct 31 Mood 0

…in reply to @aeris22
Vous devez proposer une option d’opposition (dans le cas de l’intérêt légitime) ou de consentement (dans celui du consentement), collecté **avant** d’avoir mis en œuvre votre traitement. Et vous devez en tenir compte **pendant** votre nouveau traitement.
Permalink On twitter.com ❤️ 2 Favorites 2022 Oct 31 Mood 0

…in reply to @aeris22
Et donc j’en reviens toujours à la même chose : le RGPD n’interdit pas grand chose à condition de le faire correctement. Le vrai point de blocage est que les possibilités légales de faire quelque chose a généralement une intersection vide avec les possibilités de business.
Permalink On twitter.com ♻️ 1 Retweets ❤️ 4 Favorites 2022 Oct 31 Mood +3 🙂

…in reply to @aeris22
La raison est assez simple : la plupart des finalités n’ont aucune raison d’être accepté par l’utilisateur parce que ne sont pas morale/éthique/nécessaire/whatever. Du coup le marketing a **peur** d’en informer l’utilisateur et de se retrouver avec des données inutiles…
Permalink On twitter.com ♻️ 7 Retweets ❤️ 10 Favorites 2022 Oct 31 Mood 0

…in reply to @aeris22
Si vous en êtes à un point d’avoir peur d’avoir moins de 20% d’acceptation de votre finalité dans votre population d’utilisateur, peut-être devriez-vous commencer par remettre […]
Permalink On twitter.com ♻️ 4 Retweets ❤️ 10 Favorites 2022 Oct 31 Mood 0

…in reply to @aeris22
en question votre finalité plutôt que de tout vouloir coller en « nécessaire au contrat » pour éviter d’avoir à lui en parler ? 🤔 🤷
Permalink On twitter.com ♻️ 2 Retweets ❤️ 12 Favorites 2022 Oct 31 Mood -2 🙁