La récente décision de l'Autorité nationale de protection des données (ANPD), qui a infligé une amende de 153,7 millions de reais à la société mère de TikTok pour des irrégularités dans le traitement des données personnelles d'enfants et d'adolescents, constitue un avertissement important pour les entreprises : en matière de protection des données, la conformité ne se limite pas à l'existence formelle de politiques, de procédures et de contrôles.
Outre l'amende, l'ANPD a ordonné la suppression des données personnelles collectées irrégulièrement. En outre, a déterminé la mise en œuvre d'un plan de conformité. À cet égardL’objectif est d’améliorer les mesures de protection des enfants et des adolescents sur la plateforme.
Parmi les irrégularités relevées par l'Autorité, les suivantes se distinguent : La réalisation d’opérations de traitement sans base légale valable et l’insuffisance des mesures destinées à prévenir tout préjudice aux personnes concernées. En outreL’ANPD (Autorité nationale de protection des données) a constaté un manque de preuves concrètes permettant de démontrer l’efficacité des mesures techniques et organisationnelles adoptées par l’entreprise.
L'un des aspects les plus pertinents de cette décision réside précisément dans l'évaluation de l'efficacité des mécanismes adoptés par la plateforme.
La LGPD (Loi générale brésilienne sur la protection des données) établit, parmi ses principes, la responsabilité et la transparence, exigeant des responsables du traitement des données qu'ils adoptent des mesures efficaces pour garantir le respect de la réglementation en matière de protection des données et qu'ils en démontrent l'efficacité. Dans ce contexte, l'existence d'une politique de confidentialité, de procédures internes ou de contrôles formels ne représente qu'une partie du dispositif nécessaire à la conformité.
Il est nécessaire d'intégrer efficacement ces mécanismes aux opérations, de les adapter aux risques encourus et d'en contrôler l'application en s'appuyant sur des données probantes démontrant leur efficacité pratique. Cela requiert une logique de gouvernance continue : identifier les risques, mettre en place des contrôles, les appliquer, en évaluer l'efficacité, documenter les résultats et réévaluer les mesures si nécessaire.
Cette affaire souligne également que la protection des données ne peut se limiter au seul cadre légal ou réglementaire. Les entreprises doivent prendre en compte les risques liés au traitement des données personnelles au cœur même de leurs produits, services, processus et parcours utilisateurs.
Dans le cas analysé par l'ANPD (Autorité nationale de protection des données), celle-ci a évalué, entre autres, les mécanismes mis en œuvre par la plateforme. Ces mécanismes visaient à prévenir le traitement inapproprié des données des enfants et des adolescents. Ils avaient également pour objectif d'empêcher l'accès à ces données publiques ou leur enregistrement dans des situations incompatibles avec la réglementation applicable.
Le débat dépasse donc le cadre du contenu des documents juridiques pour porter sur l'efficacité des contrôles existants au sein même de l'exploitation. Pour les entreprises qui développent des produits et services numériques, cette perspective souligne l'importance d'intégrer la protection des données dès la conception des processus et des solutions. Dans ce contexte, les entreprises doivent adopter des mesures techniques et organisationnelles proportionnées aux risques identifiés.
Un autre aspect pertinent concerne le public directement impliqué dans l'affaire. La protection des données personnelles des enfants et des adolescents occupe une place de plus en plus importante dans l'agenda réglementaire brésilien, notamment suite à l'entrée en vigueur du Statut numérique pour les enfants et les adolescents (ECA Digital) et à l'intensification des activités de surveillance de l'ANPD (Autorité nationale de protection des données) dans l'environnement numérique.
Les entreprises dont les produits ou services sont susceptibles d'être utilisés par des enfants et des adolescents doivent donc évaluer spécifiquement les risques liés à ce public. Cette analyse peut porter, selon la nature de l'activité, sur des mécanismes de vérification de l'âge, des paramètres de confidentialité, des contrôles parentaux, des règles publicitaires, des mesures de prévention des risques et des procédures permettant de démontrer l'efficacité des mesures de protection mises en œuvre.
La décision concernant TikTok confirme une tendance importante en matière de réglementation : la conformité à la protection des données doit non seulement être mise en œuvre, mais aussi démontrée.
En pratique, les entreprises qui traitent des données personnelles devraient être en mesure de répondre à des questions telles que :
Ces enjeux contribuent à transformer des programmes de protection de la vie privée essentiellement documentaires en structures efficaces de gouvernance et de gestion des risques. Il ne s'agit donc plus seulement de disposer de politiques adéquates, mais de mettre en place une structure capable de démontrer que les mesures de protection des données sont proportionnées aux risques, que l'entreprise les intègre effectivement à ses activités et qu'elle les surveille en permanence.
L’affaire TikTok montre que, compte tenu du rôle croissant de l’ANPD (Autorité nationale brésilienne de protection des données), la capacité à démontrer l’efficacité des contrôles occupera probablement une place de plus en plus importante dans l’évaluation de la conformité des organisations.
Publié par:
© 2024 Vanzin & Penteado Advogados Associados.
