Responsable de traitement RGPD : définition et rôle
%20(1).png)
DPO Consulting Rejoint Grant Thornton
Le Règlement Général sur la Protection des Données (RGPD) a été adopté en 2016 et est entré en vigueur en 2018. Son but est de fixer des règles afin d’encadrer le traitement des données personnelles par les entreprises et de les protéger contre d’éventuelles fuites, vols et ventes.
En cas de non-respect de ce règlement, les sanctions peuvent aller jusqu’à 20 millions d’euros, ou 4% du chiffre d’affaires mondial. Il est donc essentiel d’engager un responsable de traitement RGPD pour régulariser votre situation.
Qu'est-ce qu'un responsable de traitement ? Le responsable de traitement est la personne qui applique le RGPD. Son rôle est défini par la Commission nationale de l'informatique et des libertés (CNIL). C’est également la CNIL qui juge les affaires de non-application du RGPD et qui distribue des sanctions.
Le responsable peut être une personne morale, c’est-à-dire un organisme ou une commune, mais il peut également s’agir d’une personne physique. C’est lui ou elle qui choisit l’objectif du traitement et le processus à suivre pour y arriver. Il est associé à un représentant légal.
Si c’est une personne morale, il peut s’agir :
Le RGPD ouvre d’ailleurs la possibilité d’une co-responsabilité.
Le responsable de traitement peut également être un DPO externalisé. C’est d’ailleurs essentiel lorsque l’entreprise traite des données régulièrement.
Le délégué à la protection des données est l’individu qui met en place le RGPD. Il s’agit d’un expert spécialisé dans la réalisation d’audits : son expérience est particulièrement impressionnante.
Si vous désirez engager un DPO, il est recommandé de contacter un expert de DPO Consulting. Grâce à ses 10 ans d’expérience et à ses nombreux clients, il saura vous guider rapidement et efficacement. Puisque la mise en œuvre du RGPD fait partie de leur tâche hebdomadaire, vous vous mettez à l’abri d’éventuelles erreurs et approximations. En employant un membre de DPO Consulting, vous confiez vos données à quelqu’un de fiable et vous vous assurez de leur sécurité et de leur confidentialité.
C’est le responsable de traitement qui est chargé de la mise en place du RGPD. Pour atteindre cet objectif, il a plusieurs responsabilités.
C’est le responsable de traitement RGPD qui détermine les finalités et les moyens du traitement. Cela signifie qu’il met en place un objectif précis et décide du processus pour y parvenir. Il répond à la question « à quoi le traitement va servir ? » et établit la feuille de route.
Il traite toutes les données personnelles en accord avec le RGPD. Il s’assure qu’elles sont en sécurité.
Le responsable doit toujours suivre les recommandations du RGPD en établissant une base légale pour le traitement. Non seulement il doit respecter les obligations juridiques, mais également documenter ses interventions.
La confidentialité est un point primordial du RGPD, et il est essentiel de la respecter et de la documenter.
Pour chaque donnée traitée, les personnes concernées doivent être informées. Les informations du traitement (catégorie des données, utilisation, finalité) doivent leur être envoyées et ils doivent avoir la possibilité de retirer leurs données de ce traitement.
Le responsable doit prendre des mesures de sécurité appropriées afin de protéger les données personnelles. Ces mesures doivent être adaptées : une surprotection entraînerait un coût inutile pour l’entreprise.
En cas de violation de la protection des données, le responsable de traitement RGPD doit informer la CNIL et toutes les personnes concernées.
Le rôle principal du responsable est la conformité au RGPD. Toutes les mesures prises doivent viser ce but, et une documentation doit pouvoir le prouver. Pour atteindre cet objectif, la meilleure arme est l’audit de conformité RGPD.
Le responsable doit pouvoir évaluer les risques et prendre des mesures pour les éviter. Dans le cas du traitement de données sensibles, des mesures supplémentaires doivent être prises.
Qui est le responsable de traitement ? Il doit être clairement indiqué dans le contrat qu’il a signé avec la direction. Néanmoins, son rôle au sein de l’entreprise peut parfois paraître confus.
C’est le responsable de traitement qui décide pour quelles raisons les données sont traitées. Il se base sur le RGPD, ainsi que sur ses connaissances informatiques et juridiques.
Ce faisant, il fixe également les objectifs de la collecte et de l’utilisation des données. Cela peut concerner, par exemple :
Ces tâches sont réalisées en collaboration avec la direction, le service informatique, le service juridique et le service marketing.
C’est le responsable de traitement RGPD qui détermine la manière dont les données sont utilisées. Cela signifie qu’il décide des modalités selon lesquelles les données sont :
Le responsable fait la différence entre les moyens essentiels, dont il doit s’occuper lui-même, et les moyens techniques et organisationnels, dont peut s’occuper un sous-traitant.
Parmi les moyens essentiels, on citera :
Dans les relations commerciales courantes, il s’agit de la personne qui décide des objectifs et des éléments essentiels du traitement.
S’il doit forcément signer un contrat avec l’entreprise qui l’engage, il est possible que dans les faits, ses tâches ne correspondent pas aux exigences de son rôle. C’est pour cela qu’il faut toujours vérifier ; et cela vaut pour les membres de la direction, les responsables de traitement et les sous-traitants.
C’est une possibilité, à condition que l’entreprise et ses clients aient des finalités et moyens qui leur soient propres. Si cette condition est remplie, il est même possible qu’ils traitent les mêmes données.
Cette situation est différente de la responsabilité conjointe. Cela arrive lorsque deux organisations décident des finalités et des moyens ensemble, concernant le même traitement et les mêmes données.
Le registre des activités de traitement permet de documenter le rôle du responsable de traitement et des sous-traitants. À cela, il faut ajouter les contrats et l’analyse juridique. L’historique des démarches doit être conservé sous une forme ou une autre.
Selon le RGPD, il est nécessaire de documenter les rôles de chaque acteur. Cette documentation doit être mise à jour lorsque :
Pour résumer, qu'est-ce qu'un responsable de traitement ? C’est la personne qui :
Le responsable doit faire respecter le RGPD. Pour cela, il doit suivre certaines étapes.
Le responsable de traitement RGPD doit commencer par cartographier et faire l’inventaire des données. Il doit inclure les informations suivantes :
Une fois fait, il doit identifier quelles mesures permettront de protéger ces données. Il doit également prendre en compte l’objectif de chaque procédé.
Il est nécessaire que le responsable documente chaque étape de la mise en œuvre du RGPD. Cette documentation sera transmise à l’entreprise avec laquelle il travaille.
L’important est de pouvoir présenter chaque étape en cas de contrôle de la CNIL, et de les justifier.
L’examen des relations entre les sous-traitants et les tiers permet de s’assurer que chacun assure les responsabilités de son rôle et que l’un ne remplit pas les tâches de l’autre.
Le sous-traitant traite les données à la demande de son responsable. Il suit ses instructions et se réfère à lui. En cas de problème, le responsable est celui qui devra en assumer les conséquences.
Le sous-traitant peut choisir les moyens techniques.
Pour engager un sous-traitant, l’entreprise doit à tout prix remplir ces conditions :
Le responsable doit s’assurer que les données sont en sécurité. Pour cela, il applique la réglementation RGPD en l’adaptant à l’entreprise pour laquelle il travaille.
En cas de violation, ce qui peut toujours arriver, il doit prévoir des procédures pour prévenir la CNIL, les personnes concernées, et prendre des mesures correctives.
Le responsable se doit d’appliquer le principe de responsabilité et de conformité. Il doit également documenter ses démarches. Cela permet non seulement de faciliter l’échange entre les personnes concernées, mais aussi de disposer de preuves en cas d’inspection de la CNIL.
Rappelons que si le RGPD n’est pas respecté, le représentant légal est la personne qui est responsable. S’il y a une action pénale, c’est lui qui en sera la cible. Les sanctions peuvent aller jusqu’à 5 ans d’emprisonnement et 300 000 euros d’amende.
Le responsable peut engager un sous-traitant, à condition que cela figure dans le contrat et que la direction de l’entreprise avec laquelle il travaille approuve. Le sous-traitant est sous ses ordres : en cas de manquement, c’est le responsable qui subira les sanctions.
Il est important de s’assurer que tous les acteurs travaillent en conformité avec le RGPD – c’est d’ailleurs ce que recommande la CNIL.
Le responsable des données peut être une entreprise, une association, une administration ou une personne physique.
Oui, une personne physique peut tenir ce rôle.
Oui, plusieurs personnes peuvent être responsables du traitement au sein d’une même organisation.
Non, la désignation d’un DPO n’est pas nécessaire si les entreprises ne traitent pas de données régulièrement.
Oui, si les finalités et moyens de traitement sont différents.
%20(1).png)
.svg)
.png)
.png)
