Fiches de Droit du traitement et de la protection des données personnelles

Rabagny-Lagoa Agnès

• Éditeur: Editions Ellipses
• Année: 2022
• Imprimer l'ISBN: 9782340065635
• ISBN de l'eBook: 9782340067332
• Sujet: Law
• Sujet: Law Theory & Practice

28 fiches pour réviser tout le cours de Droit du traitement et de la protection des données personnelles:

• les définitions à connaître, les erreurs à éviter, les points essentiels à retenir;
• des exercices corrigés pour vérifier ses connaissances;
• des repères bibliographiques pour aller plus loin;
• 1 index.

Deuxième partie :

Les obligations du responsable du traitement de données à caractère personnel

L’ordonnance n° 2018-1125 du 12 décembre 2018 introduit dans la version modifiée de la loi Informatique et Libertés un chapitre III concernant les obligations incombant au responsable de traitement et au sous-traitant en application du RGPD. Ce nouveau chapitre opère une synthèse des obligations contenues dans le Règlement. Il contribue à garantir la cohérence d’ensemble du cadre juridique applicable à la protection des données.

Fiche 7

L’obligation de conformité

I. Définition de la conformité

II. Les acteurs de la conformité

III. Les outils de conformité

IV. Les outils d’autorégulation

Le RGPD du 27 avril 2016 repose sur une logique de conformité, dont les acteurs sont responsables, sous le contrôle et avec l’accompagnement du régulateur. Il supprime donc presque intégralement les formalités préalables au traitement des données personnelles.

I. Définition de la conformité

L’article 24 du Règlement fait peser sur le responsable du traitement une obligation de conformité.

Le concept d’accountability fait son entrée en droit français. Il constitue l’une des principales innovations du Règlement, mais sa traduction est malaisée. Le terme de « responsabilité » ne l’exprime que partiellement. L’accountability correspond à l’affirmation de la responsabilité de l’organisme, mais également à sa faculté d’établir qu’il a bien respecté ses obligations en matière de protection des données.

Désormais, déceler les manquements ne relève plus uniquement de l’autorité de contrôle. L’organisme doit lui-même démontrer que ses traitements de données personnelles sont conformes au Règlement. Il devient le principal garant de la protection des données, qui repose ainsi sur l’autorégulation.

L’obligation de conformité est toute à la fois juridique et éthique. Toutes les mesures techniques et organisationnelles nécessaires au respect de la protection des données personnelles doivent être mises en place, dès la conception du produit ou du service. Ces mesures sont ensuite régulièrement réexaminées et actualisées, notamment pour intégrer les évolutions technologiques. Des procédures formalisées doivent être mises en place, de la conception du traitement à sa mise en œuvre.

L’article 25 du Règlement précise ensuite le contenu de l’obligation de conformité. Il introduit en droit français le concept de privacy by design. La protection des données doit être envisagée dès l’origine et par défaut. L’article 25 consacre notamment le principe de minimisation dans son paragraphe 1, tout en restant très vague sur les moyens à mettre en œuvre. Le responsable doit notamment prendre les « mesures techniques et organisationnelles appropriées » pour protéger les données. L’accès aux données doit également être limité.

L’usage qui est fait des données est donc limité, car elles ne doivent pas être « accessibles à un nombre indéterminé de personnes physiques ». Le texte reconnaît que ces mesures sont par essence variables, car les risques que présente le traitement pour les droits et libertés des personnes physiques sont eux-mêmes variables, « compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ». L’article 25 cite notamment « la pseudonymisation » comme l’une des mesures pouvant être prise par le responsable du traitement. Elle consiste, selon l’article 4 du RGPD, paragraphe 5, à traiter les données de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires.

Cette responsabilisation renforcée du responsable du traitement de données justifie la suppression de la plupart des obligations déclaratives. Par exception, le régime d’autorisation peut cependant être maintenu par le droit national, par exemple en matière de santé ou de sécurité (Fiche10 : Les procédures exceptionnelles de déclaration et d’autorisation).

II. Les acteurs de la conformité

Le Règlement envisage avec précision la responsabilité des différents acteurs. Le responsable du traitement de données, qui en détermine la finalité et les moyens, est le principal acteur de la conformité. En présence de responsables conjoints, aux termes de l’article 26-2°, du RGPD, tous doivent respecter l’obligation de conformité. Le Règlement précise alors leurs obligations. Les co-responsables doivent notamment définir leurs rôles respectifs ainsi que leurs relations vis-à-vis des personnes concernées.

L’article 28 du Règlement constitue ensuite une innovation, car il précise les obligations et les responsabilités du sous-traitant, qui jouissait jusqu’alors d’une quasi-impunité. Le sous-traitant est tenu de respecter des obligations spécifiques en matière de sécurité, de confidentialité et d’accountability. Il est notamment soumis à une obligation de conseil auprès du responsable de traitement. Il doit établir un registre des traitements et désigner un délégué à la protection des données dans les mêmes conditions qu’un responsable de traitement. En droit interne, l’article 45 de la loi Informatique et Libertés du 6 janvier 1978 précise lui aussi les obligations du sous-traitant. Il peut notamment être sanctionné par la CNIL. Toutefois, le sous-traitant ne pourra être visé par des sanctions que s’il a commis un manquement aux obligations spécifiquement mises à sa charge par le RGPD, et ne devrait pas encourir de sanction pénale s’il manque aux obligations résultant du contrat le liant au responsable de traitement.

III. Les outils de conformité

Si le RGPD a supprimé presque totalement les formalités préalables, les obligations mises à la charge du responsable sont très lourdes.

Un ensemble d’outils est proposé au responsable du traitement pour garantir la conformité avec le Règlement. L’autorégulation est privilégiée, mais elle ne s’exerce que dans un cadre législatif contraignant. Il faudra toutefois rester vigilant, pour que le responsable du traitement ne se contente pas d’utiliser formellement les différents outils mis à sa disposition. Un effort important est nécessaire pour que le principe d’accountability devienne effectif.

A. Le registre des traitements mis en œuvre

...

Table des matières

• Couverture
• Page de titre
• Page de copyright
• Avant-propos
• Sommaire
• Première partie : Le cadre juridique général du traitement de données à caractère personnel
• Deuxième partie : Les obligations du responsable du traitement de données à caractère personnel
• Troisième partie : La protection des personnes concernées par le traitement de données personnelles
• Index
• Table des matières