Michal
2020-01-06 18:22:01 UTC
J'ai récemment rencontré cette partie d'une application d'une entreprise américaine bien connue:
Est-ce une manière légale de gérer certains des obstacles techniques introduits par le RGPD? S'agit-il d'une interprétation «flexible» de la loi ou est-ce carrément illégal?
Pour donner une vue d'ensemble - on m'a demandé où je vis et sur cette base, on m'a présenté cette feuille de consentement. Si je ne coche pas la case, je ne peux plus aller plus loin - je dois donner mon consentement si je veux utiliser l'application.
J'étais d'accord pour donner ce consentement, mais cela signifie-t-il que je perds aussi mes droits associés au RGPD? Le droit de télécharger mes données, le droit d'être oublié, etc.?
Je ne suis pas intéressé à faire honte à l'entreprise, mais je suis intéressé à savoir si l'approche - "Je vais demander si ils acceptent de perdre ces droits pour que je puisse faire ce que je veux " - est une manière correcte de gérer la loi. Je n'ai pas supposé que le RGPD était «facultatif». Cela va à l'encontre de l'objectif de l'avoir si les entreprises peuvent mettre cela en petits caractères ou pire - interdire à quiconque d'utiliser leur logiciel à moins qu'ils ne leur donnent leurs données privées sans aucune condition.
J'ai vu et lu une question connexe ici, mais dans ma situation, je suis en fait incapable de faire quoi que ce soit à moins d’accepter les conditions.
Cela ne semble rien dire sur leur conformité au RGPD, ou son absence. Demander si vous consentez à ce que vos données soient traitées en dehors de l'UE est orthogonal pour qu'elles soient soumises au RGPD en vertu du fait qu'elles servent un citoyen de l'UE.
Bien que les protections GDPR ne puissent pas être levées, comme l'indiquent les réponses, il est raisonnable pour une entreprise d'interdire à quiconque d'utiliser son logiciel si l'utilisateur ne donne pas son consentement à une utilisation requise de ses données (tant que les données utilisent et la demande sont légales). L'entreprise a le droit de ne pas fournir de service à quiconque de son choix, tant que ce n'est pas pour une raison illégale. En fait, il est tout à fait normal et, en fait, nécessaire pour une entreprise de refuser de fournir un service à moins qu'elle n'ait votre consentement pour utiliser vos données. Exiger des entreprises qu'elles obtiennent explicitement ce consentement était l'une des actions du RGPD.
@Makyen: Ce n'est pas si simple. Le RGPD exige absolument que le consentement soit donné librement, et il semble que le refus du service signifie que le consentement n'est plus donné librement. Vous avez raison de dire que l'entreprise a le droit de faire affaire avec qui elle veut, mais uniquement dans le cadre de la loi, y compris le RGPD.
Les cases à cocher ont-elles été automatiquement cochées? Parce que même cela est un peu discutable du point de vue du RGPD (le consentement doit être `` opt-in '' et non `` opt-out '')
@DaveMongoose ils n'étaient ** pas ** pré-cochés. J'ai vu une telle pratique ailleurs, mais ce n'était pas le cas.
@MSalters Je pense que vous avez une vision faussée de ce que signifie * librement donné *. L'entreprise ne vous doit aucun service. S'ils étaient légalement mandatés pour vous fournir des services, il pourrait y avoir un argument selon lequel le consentement n'a pas été donné librement. L'entreprise établissant clairement qu'elle ne commencera pas à fournir des services à moins que vous ne consentiez à son utilisation de vos données fait partie d'une relation contractuelle typique. Le RGPD * ne vous donne * pas * le droit * de * les * forcer * à vous fournir des services, ce que vous soutenez effectivement.
@Makyen Je vois votre argument avec le droit de forcer un service, mais qu'en est-il de l'inverse - * droit de fournir un service *? Sûrement, s'ils ne sont pas capables de se conformer aux lois, ils ne devraient pas vraiment fournir le service dans la région donnée (dans ce cas, l'UE). Non?
@Makyen: Voir aussi la réponse de Peteris. Le problème avec votre logique est que le RGPD impose à l'entreprise de montrer son consentement librement donné. Cela signifie qu'un utilisateur insatisfait peut déposer une plainte contre votre entreprise selon laquelle vous avez traité illégalement ses données, et vous ne pourrez pas vous défendre contre cette réclamation.
@MSalters: _ "et vous ne pourrez pas vous défendre contre cette réclamation" _ Mais c'est ** exactement ** pourquoi le consentement est demandé - pour empêcher une réclamation selon laquelle l'utilisateur n'a jamais accepté les événements qu'il héberge actuellement une plainte concernant. Quiconque utilise le service doit avoir consenti à ce que le service implique. C'est à dessein spécifiquement pour se défendre contre de telles réclamations.
@MSalters Il semble que nous nous parlions. Votre commentaire précédent semble ignorer que j'ai dit qu'ils peuvent refuser le service si le client potentiel «ne donne pas son consentement à une utilisation * obligatoire * de ses données». Le fait d'ignorer que j'ai qualifié le consentement comme une utilisation * requise * semble avoir conduit à ce que cela se passe sur une tangente. Il semble également y avoir confusion quant à savoir si nous parlons de ce cas précis ou de généralités. En ce qui concerne ce cas spécifique, l'entreprise semble ne pas être en conformité avec le RGPD de plusieurs manières, et * probablement * ne l'est pas de manière supplémentaire.
@Michal Oui, la chose intelligente / correcte à faire s'ils ne peuvent pas être, ou choisissent de ne pas être, conformes au RGPD est de ne pas fournir le service dans une zone / à toute personne où ils auraient besoin d'être en conformité avec le RGPD. Malheureusement, il est assez courant pour les personnes / entreprises de ne pas faire ce qui est intelligent / raisonnable.
@Makyen: J'ignore le _required_ parce que cela n'a pas de sens. Si cela est légalement requis, le RGPD n'exige pas de consentement. Si c'est «requis» en raison d'une politique arbitraire de l'entreprise le disant, c'est simplement l'entreprise qui le dit. Et puis, l'entreprise a le problème que le RGPD fait le choix non pas à l'entreprise mais au consommateur. Au final, le RGPD n'a que 6 motifs justifiés, et vous ne pouvez pas en inventer un autre. «Consentement ou pas de service» n'est tout simplement pas un de ces 6.
@Makyen "L'entreprise a le droit de ne pas fournir de service à quiconque de son choix, tant que ce n'est pas pour une raison illégale." Vous vous égarez dans un territoire complexe là-bas, et cela variera probablement d'une juridiction à l'autre. La plupart des pays ont des lois anti-discrimination. Et au Royaume-Uni (on me dit), vous pouvez intenter une action si le fournisseur a abusé d'une position dominante contrairement à l'interdiction imposée par l'article 18 (l'interdiction du chapitre II) de la loi de 1998 sur la concurrence.
@Makyen voir https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/consent/ et en particulier "Si vous faites du consentement une condition préalable à un service, il est peu probable que ce soit la base légale la plus appropriée". Si l'entreprise * a * besoin * de faire ces choses pour fournir un service, elle n'a pas besoin de consentement séparé, et si elle n'a pas besoin de le faire, alors le fait de conditionner le service au consentement n'est pas valide.
Les commentaires ne sont pas destinés à une discussion approfondie; cette conversation a été [déplacée vers le chat] (https://chat.stackexchange.com/rooms/103050/discussion-on-question-by-michal-is-asking-users-to-waive-gdpr-compliance-a- lega).
Si l'entreprise est une entreprise américaine, comment l'Union européenne pourrait-elle faire appliquer le GPDR? Oui, ils pourraient bloquer les paiements par carte de crédit ou virement bancaire, mais que faire si le service est gratuit? L'UE pourrait-elle émettre un mandat pour que le PDG soit extradé pour qu'il soit jugé?