Le Règlement général sur la protection des données (UE 2016/679) est entré en vigueur le 25 mai 2018, ajoutant de nouveaux éléments et des améliorations significatives au régime de protection des données existant.
Rôles et responsabilités
À l’approche de l’entrée en vigueur du RGPD, vous vous êtes sans doute demandé s’il était nécessaire de désigner officiellement un DPO – une obligation si :
- Vous êtes une autorité ou un organisme public ; ou
- Vos activités principales nécessitent une surveillance à grande échelle, régulière et systématique des individus ; ou
- Vos activités principales consistent en le traitement à grande échelle de catégories particulières de données ou de données relatives aux condamnations pénales et aux infractions.
De nombreuses organisations choisissent de désigner une personne ou un service responsable des activités liées à la protection des données, sans pour autant nommer un délégué à la protection des données (DPO). Il est essentiel, au sein de votre organisation, que les rôles et responsabilités en matière de protection des données soient clairement définis et documentés.
ROPA – Registre des activités de traitement
La documentation des activités de traitement effectuées par l'organisation est une exigence de l'article 30 du RGPD (Royaume-Uni et UE) si votre organisation compte plus de 250 employés. Elle est également obligatoire pour les entreprises plus petites si les données qu'elles traitent :
- ne sont pas occasionnels
- sont susceptibles d'avoir un impact sur les droits et libertés des individus ; et
- impliquer des données de catégorie spéciale ou des données relatives aux condamnations pénales et aux infractions.
Votre ROPA doit contenir une cartographie des données de vos systèmes contenant des données personnelles, ainsi que des informations sur la base légale du traitement, les finalités et les méthodes de traitement des données, les politiques et procédures de partage et de conservation des données.
Il est important de veiller à ce que cette documentation soit régulièrement révisée, car des mises à jour sont susceptibles d'être apportées au fil du temps.
L’ICO fournit des recommandations
Politiques et procédures
Vos politiques et procédures doivent clairement définir les rôles et les responsabilités au sein de votre organisation, couvrant un certain nombre de domaines liés à la protection de la vie privée :
- Protection des données et gestion des archives
- Sécurité de l'information, y compris la gestion des violations et des incidents
- La fourniture d'informations suite aux demandes d'exercice des droits individuels – telles que les demandes d'accès aux données et les avis d'information
- Protection des données dès la conception et par défaut afin de garantir que les problèmes soient pris en compte et documentés (analyses d'impact relatives à la protection des données) lors de la mise en œuvre de nouveaux systèmes, services, produits et processus, ou de la modification de ceux existants.
- La politique de confidentialité de votre site web doit être régulièrement mise à jour et la date de la dernière modification clairement affichée.
Gestion des fournisseurs
Il est essentiel de conclure des contrats avec les organisations qui traitent des données pour votre compte. Ces contrats doivent préciser les modalités de traitement, notamment :
- L'objet du traitement
- Durée du traitement
- Nature et finalité du traitement
- Types de données personnelles et catégories de personnes concernées
- Si des sous-processeurs sont utilisés.
Il est nécessaire de mettre en place un cadre de vérifications préalables afin de s'assurer que ces organisations respectent les exigences techniques et organisationnelles appropriées pour se conformer au RGPD.
Il est recommandé de revoir régulièrement les contrats et les accords de partage de données que vous avez mis en place avec d'autres organisations.
Entraînement
Il est essentiel de veiller à ce que votre personnel soit conscient de ses responsabilités en matière de traitement des données personnelles. Les formations initiales et de recyclage doivent inclure des informations sur la protection des données, les menaces potentielles à la sécurité et les politiques et structures de gouvernance de l'information de votre organisation. Le suivi et la documentation de la réalisation des formations sont des éléments importants pour pouvoir démontrer votre conformité.
Autres lois et règlements
Il existe diverses autres lois et réglementations au Royaume-Uni qui ont une incidence sur la sécurité des données. Celles-ci comprennent :
- Règlement de 2003 sur la protection de la vie privée et les communications électroniques (PECR) – qui couvre le « spam » et les envois de courriels marketing de masse. Des règlements d'application du PECR sont également publiés périodiquement. Par exemple, des règlements sur l'utilisation des cookies sur les sites web et, en 2016, l'obligation pour toute personne effectuant un appel marketing d'afficher son numéro
- Loi sur le droit d'auteur, les dessins et modèles et les brevets – modifiée en 2002 pour inclure le vol de logiciels
- D’autres normes et réglementations informatiques peuvent s’appliquer : par exemple, les entreprises traitant des transactions par carte de crédit doivent s’assurer de leur conformité aux normes de sécurité des données de l’industrie des cartes de paiement (PCI DSS) .
Sources et liens
Page d'accueil de l'ICO pour les organisations
Portail RGPD de l'UE – www.gdpreu.org
