Module 4 sur 8 · Environ 15 minutes
Responsabilité : registres, AIPD et sous-traitants
La documentation et la gouvernance qui permettent de démontrer la conformité.
Registres et conception
L’article 30 impose un registre des activités de traitement : finalités, catégories de données et de personnes, destinataires, transferts, durées de conservation et mesures de sécurité. Les organismes de moins de 250 salariés n’en sont dispensés que si le traitement est occasionnel, ne présente pas de risque et ne porte pas sur des données sensibles ou pénales — en pratique, la plupart doivent tenir un registre. L’article 25 impose la protection des données dès la conception et par défaut : des garanties intégrées dès le départ et, par défaut, uniquement les données nécessaires.
Analyses d’impact (AIPD)
L’article 35 impose une AIPD avant tout traitement susceptible d’engendrer un risque élevé pour les personnes, notamment l’évaluation systématique et approfondie (profilage) produisant des effets importants, le traitement à grande échelle de données sensibles ou pénales et la surveillance systématique à grande échelle d’une zone accessible au public. Les autorités de contrôle publient des listes de traitements soumis à AIPD. L’AIPD décrit le traitement, évalue sa nécessité et sa proportionnalité ainsi que les risques pour les personnes, et prévoit les mesures pour y faire face. Le responsable du traitement doit demander conseil au DPO. Si un risque élevé subsiste après atténuation, il doit consulter l’autorité de contrôle avant le traitement (article 36).
Sous-traitants et responsables conjoints
Le sous-traitant agit uniquement sur instruction documentée du responsable du traitement. L’article 28 impose un contrat définissant l’objet, la durée, la nature et la finalité du traitement et les types de données, avec des obligations de confidentialité, de sécurité, d’encadrement des sous-traitants ultérieurs, d’aide pour les droits et les violations, de suppression ou de restitution en fin de contrat, et d’audit. Les responsables conjoints (article 26) définissent leurs obligations respectives dans un accord dont les grandes lignes sont mises à la disposition des personnes.
L’essentiel
- La plupart des organismes doivent tenir un registre, quelle que soit leur taille.
- Une AIPD est requise avant un traitement susceptible d’être à haut risque, et le DPO doit être consulté.
- Un risque élevé non atténué impose une consultation préalable de l’autorité de contrôle.
- Toute relation de sous-traitance exige un contrat conforme à l’article 28.
Vérifiez votre compréhension
Qui réalise l’AIPD — le DPO ou le responsable du traitement ?
Voir la réponse: Le responsable du traitement en est responsable ; le DPO conseille et en vérifie l’exécution.
Un prestataire cloud héberge vos dossiers RH et n’agit que sur vos instructions. Qu’est-il, et que vous faut-il ?
Voir la réponse: Un sous-traitant ; il vous faut un contrat conforme à l’article 28.