Il est difficile de croire que nous approchons du premier anniversaire du GDPR. Après une période de transition de deux ans, le GDPR est entré en vigueur le25 mai 2018 et a complètement transformé la façon dont les organisations abordent la confidentialité des données.
La législation a été introduite pour refléter notre monde de plus en plus numérisé et reconnaître les droits des individus en ce qui concerne l'utilisation de leurs données personnelles.
De nombreuses organisations ont consacré beaucoup de temps et d'efforts pour s'assurer qu'elles étaient conformes à la nouvelle législation, mais pour d'autres, le parcours a été plus difficile et ardu. La démonstration de la conformité avec le GDPR est un processus continu et de nombreux aspects de la législation doivent encore être clarifiés et peuvent s'avérer déroutants pour les organisations.
Deux termes que nous entendons constamment en rapport avec le GDPR sont "contrôleurs de données" et "processeurs de données". Il est important de comprendre la distinction entre ces deux termes car elle déterminera vos responsabilités en vertu de la législation.
La distinction entre un contrôleur de données et un processeur de données peut avoir des conséquences importantes dans le monde réel. Si une organisation est impliquée dans le traitement des données, il est vital qu'elle établisse les rôles et les responsabilités à un stade précoce afin d'éviter toute confusion en cas de violation des données. Cela permettra de s'assurer qu'il n'y a pas de lacunes dans les responsabilités et que les organisations peuvent traiter ces questions de manière efficace et effective.
Qu'est-ce qu'une donnée personnelle ?
Si votre organisation traite des données personnelles, alors le GDPR s'applique à vous. L'UE définit les "données personnelles" comme toute information pouvant être utilisée pour identifier directement ou indirectement un individu (personne concernée). Il s'agit notamment du nom, de l'adresse électronique, de l'adresse IP et des images. Cela inclut également les données personnelles sensibles telles que les données biométriques ou les données génétiques qui pourraient être traitées pour identifier une personne.
Êtes-vous un "contrôleur de données" ou un "processeur de données" ?
Si votre organisation détermine les objectifs et la manière dont les données personnelles sont traitées, elle est considérée comme un contrôleur de données.
Les contrôleurs de date jouent un rôle clé dans la conformité au GDPR en raison des données personnelles des clients et des employés qu'ils conservent et collectent.
Les tâches du contrôleur des données comprennent :
- Faciliter une transparence accrue du traitement des données relatives à la vie privée par rapport aux demandes des personnes concernées.
- S'assurer que les personnes concernées sont traitées dans les délais définis par le GDPR.
- Réalisation d'évaluations de la protection de la vie privée et désignation de DPD
- Notifier les autorités de contrôle des violations de données dans les 72 heures suivant leur découverte.
- Suivre et répondre aux changements dans les mandats de conformité
- Remplacement des champs de données d'identification par des pseudonymes et cryptage des données personnelles
- Tenir des registres du traitement des données personnelles via un registre des données personnelles.
- Gérer et gouverner l'interaction avec les tiers en ce qui concerne le traitement et la manipulation des données personnelles.
Qui est un responsable du traitement des données et quelles sont ses responsabilités ?
Si une personne, une organisation, une agence ou un autre organisme agit au nom d'un contrôleur de données, elle est considérée comme un processeur de données.
Les exemples de processeurs de données comprennent :
- Un organisme extérieur (ex : une entreprise chargée de l'élimination des informations sur les clients)
- Un fournisseur de services en nuage qui stocke des données personnelles
- Tout prestataire de services agissant en votre nom et ayant accès aux données personnelles d'un client ou d'un employé.
Lisez également le guide Dummies sur le règlement "Vie privée et communications électroniques".
Les tâches du responsable du traitement des données comprennent :
- Décider quels systèmes informatiques ou autres méthodes utiliser pour collecter les données personnelles.
- Comment stocker les données personnelles
- Sécurité des données
- Moyens utilisés pour transférer des données d'une organisation à une autre
- Moyens utilisés pour récupérer les données personnelles de certains individus
- Veiller à ce que la méthode qui sous-tend le calendrier de conservation soit respectée.
- Moyens utilisés pour supprimer/éliminer les données
Les responsables du traitement des données sont soumis à plusieurs nouvelles obligations en vertu du GDPR, qui comprennent le maintien de mesures qui allouent des niveaux de sécurité adéquats pour les données personnelles par rapport au risque potentiel.
Les responsables du traitement des données sont tenus de se conformer aux instructions des contrôleurs des données, à moins que ces instructions ne soient en contradiction avec le GDPR lui-même.
Un contrôleur de données peut-il également être un processeur de données ?
Il existe certaines zones grises où les situations peuvent se chevaucher et où il est difficile de distinguer si vous êtes un contrôleur ou un processeur de données. Cependant, l'ICO est clair dans ses conseils en déclarant : "Une organisation ne peut être à la fois contrôleur de données et sous-traitant pour la même activité de traitement de données ; elle doit être l'un ou l'autre.
Cela signifie que pour déterminer quelle organisation est responsable de la protection de quelles données, il est nécessaire d'examiner le traitement en question, ainsi que les organisations impliquées. Il est également important que, dans la mesure du possible, les systèmes et les procédures fassent la distinction entre les données "propres" de l'organisation et les données qu'elle traite pour le compte des autres données."
Apprenez également ce qu'est un consentement valide selon le GDPR
Pour garantir une conformité totale au GDPR, les organisations devront définir clairement les rôles et les responsabilités afin d'éviter de tomber en infraction avec la législation. Si vous n'êtes pas du tout sûr de la position de votre organisation, vous devez consulter un conseiller juridique pour obtenir des précisions.
MetaPrivacy a été conçue pour fournir une approche des meilleures pratiques en matière de conformité à la législation sur la protection des données. Contactez-nous pour plus d'informations sur la façon dont nous pouvons aider votre organisation à améliorer sa structure de conformité.
CLAUSE DE NON-RESPONSABILITÉ : Le contenu et les opinions de ce blog sont uniquement destinés à des fins d'information. Ils ne sont pas destinés à constituer un conseil juridique ou professionnel et ne doivent pas être considérés comme un substitut à un conseil spécifique adapté à des circonstances particulières, à la loi sur la protection des données ou à toute autre législation actuelle ou future. MetaCompliance n'accepte aucune responsabilité pour toute erreur, omission ou déclaration trompeuse, ou pour toute perte qui pourrait résulter de la confiance accordée aux documents contenus dans ce blog.
