Protection de la Vie Privée et des Données Personnelles
Contexte
Une donnée personnelle est une information qui permet d’identifier directement ou indirectement une personne physique. Ainsi, avec votre photo ou des informations de votre état civil, vous êtes identifié directement. Avec un numéro unique d’identification, il est aussi possible de facilement vous identifier (plaque d’immatriculation, identifiant Michelin…). Plus difficile mais possible : une combinaison d’informations telles que le sexe, l’âge, la profession et la ville ou encore différentes traces GPS peut également permettre de vous identifier. Toutes ces informations constituent des données personnelles qui doivent être protégées.
Le nombre de réglementations visant à protéger la vie privée et les données personnelles a explosé dans le monde ces dernières années. Dans de nombreux pays, ne pas respecter ces réglementations est désormais passible de sanctions financières très significatives souvent relayées dans la presse, voire de sanctions pénales.
Valeurs et Principes d’Action
Michelin a pour ambition de s’imposer comme leader mondial en mobilité durable et en innovation tout en contribuant à répondre aux enjeux de société et en pratiquant des valeurs de respect des personnes essentielles à ses yeux. Les données sont au centre de cette stratégie.
Dans ce contexte, Michelin entend évidemment respecter les lois qui régissent la protection de la vie privée et des données personnelles. Mais surtout Michelin est convaincu que la protection des données constitue un atout compétitif majeur et un vecteur de confiance dans les relations avec les salariés, clients, partenaires et actionnaires.
C’est pourquoi Michelin s’engage à appliquer a minima les principes fondamentaux de la protection de la vie privée et des données personnelles partout dans le monde et à se conformer à toute réglementation locale plus contraignante.
La protection des données personnelles ne peut être assurée qu’avec l’aide de chacun d’entre vous.
Do & Don’t
Je dois
- Collecter et manipuler uniquement les données personnelles nécessaires à l’objectif que je poursuis ; cet objectif a été clairement défini et est légitime ;
- Manipuler les données personnelles conformément à l’information transmise aux personnes concernées par ces traitements ;
- Uniquement renseigner dans les champs de commentaires libres des commentaires pertinents, adéquats et non excessifs ; me demander si je serai à l’aise d’expliquer ce commentaire à la personne concernée ;
- Corriger toute donnée personnelles inexacte et respecter les droits des personnes sur leurs données ;
- Transmettre des données personnelles en interne uniquement aux personnes autorisées et qui ont besoin d’en connaître ;
- Transmettre des données personnelles en externe uniquement en cas d’obligation légale ou à des sociétés avec lesquelles un contrat a été conclu en conformité avec les procédures du groupe (achat, sécurité, …) ;
- Assurer la sécurité et la confidentialité des données personnelles et notamment transmettre des données personnelles, uniquement conformément aux règles de sécurité du groupe (fichier chiffré…) ;
- Informer le CERT Michelin conformément à la procédure applicable en cas de violation de données (perte de données, accès non autorisé à des données, publication non autorisée de données …) ;
- Me former régulièrement sur ce sujet si mon poste implique de manipuler des données personnelles, notamment pour connaître le cadre plus particulièrement applicable à mon activité.
Je ne dois pas
- Collecter des données personnelles à l’insu de la personne concernée ;
- Collecter des données personnelles relatives à la santé, vie ou orientation sexuelle, opinions politiques, convictions religieuses ou origine raciale des personnes, sauf lorsque cela est requis par la loi ou avec le consentement de la personne ;
- Donner accès aux données à une personne située dans un autre pays, sans vérifier auprès du service juridique si cela est possible et dans quelles conditions ;
- Conserver des données personnelles plus longtemps que nécessaire au regard de l’objectif poursuivi (cette durée devant être définie au début).
Cas Pratique
1. Vous faites partie d’une équipe de commerciaux. Vous trouvez important de bien connaître vos clients et de vous souvenir de détails de leur vie privée pour créer une relation de proximité. Vous pensez saisir ces informations dans un outil. En plus, si jamais vous étiez absent votre remplaçant pourrait avoir accès à ces informations. Une telle pratique n’est pas autorisée. Ne doivent figurer dans un outil de CRM uniquement des informations factuelles en lien avec la relation professionnelle. En outre, il pourrait s’agir d’informations sensibles (état de santé, religion…) dont la collecte est strictement interdite. Au-delà du strict respect de la réglementation, votre client ne sera pas satisfait si un autre salarié du groupe a connaissance d’informations relatives à sa vie privée qu’il vous aurait confiées. Rappelez-vous que votre client pourrait avoir accès à toutes les données le concernant.
2. Un équipier a eu un accident du travail. Vous souhaitez faire un retour d’expérience à tous les sites industriels. Vous transmettez les informations suivantes : Ronan A., Moniteur, Site de Vannes, ainsi que des détails sur ses blessures et le contexte de son accident. Vous pensez bien faire en n’ayant pas transmis son nom de famille en entier. Les questions que vous devez vous poser sont les suivantes : est-ce que je poursuis un objectif légitime ? oui, il s’agit d’améliorer la sécurité par ce retour d’expérience. Est-ce que pour atteindre cet objectif, il est indispensable de transmettre toutes ces informations personnelles ? Non, le site, le poste, le prénom et la première lettre du nom ne sont d’aucune utilité. Seules les circonstances de l’accident pour éviter qu’il ne se reproduise sont utiles. Enfin, quand on souhaite anonymiser des données afin de ne plus manipuler de données personnelles, il faut toujours se demander : est-ce que je peux avec les seules informations restantes identifier cette personne. Dans ce cas précis, avec un prénom, un poste et un site Michelin, on est facilement capable de ré-identifier une personne.
Qui Contacter ?
- Votre Manager
- Votre Service Juridique
- Votre Privacy Manager Local
- Le Data Protection Officer du Groupe
Documents de Référence
- A compléter ultérieurement