Source: https://www.gdpr-expert.eu/article.html?id=30
Timestamp: 2018-09-20 09:25:11+00:00
Document Index: 157290871

Matched Legal Cases: ["l'article 30", "l'article 30", "l'article 30", "l'article 30", "l'article 30", "l'article 30", "l'article 6", "l'article 44", "l'article 22", "l'article 87", "l'article 6", "l'article 30", "l'article 30"]

Article 30 : Registre des activités de traitement - GDPR.expert
Afficher les articles et mots clés liés à l’article 30 expand_more Cacher les articles et mots clés liés à l’article 30 expand_less
Articles liés à l'article 30
Mots clés liés à l'article 30
Afficher les considérants du Règlement liés à l'article 30 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 30 keyboard_arrow_up
(82) Afin de démontrer qu'il respecte le présent règlement, le responsable du traitement ou le sous-traitant devrait tenir des registres pour les activités de traitement relevant de sa responsabilité. Chaque responsable du traitement et sous-traitant devrait être tenu de coopérer avec l'autorité de contrôle et de mettre ces registres à la disposition de celle-ci, sur demande, pour qu'ils servent au contrôle des opérations de traitement.
Afficher les considérants de la Directive 95/46 liés à l'article 30 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 30 keyboard_arrow_up
arrow_back Article précédent • Article 30 • Article suivant arrow_forward
Lors de l’évaluation de l’application de la Directive, il est apparu que l’obligation de notification préalable visée aux articles 18 et 19 générait une charge administrative et financière, sans pour autant avoir véritablement amélioré la protection des données.
Le législateur de l’Union a donc fait choix de remplacer cette obligation de notification par une obligation à charge des responsables du traitement et des sous-traitants, de conserver une trace documentaire des opérations de traitement sous leur responsabilité.
Ainsi, tant les responsables que les sous-traitants (et le cas échéant, leurs représentants) devront tenir des registres pour toutes les catégories d'activités de traitement relevant de leur responsabilité c’est-à-dire pour chacun des traitements qu’ils mettent en oeuvre. Ceux-ci seront mis à disposition des autorités de contrôle sur demande de celles-ci.
Ces registres devront comporter toute une série d’informations listées par le Règlement, qui diffèrent selon que ce registre est tenu par un responsable ou un sous-traitant.
Outre des informations sur l’identification des différents intervenants (responsables, sous-traitants, mais aussi responsables conjoints ou délégués à la protection des données), on y retrouve par exemple les finalités du traitement, une description des catégories de personnes concernées et des catégories de données à caractère personnel s'y rapportant, les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, les délais prévus pour l’effacement des différentes catégories de données, une description des mesures de sécurité, etc.
Le Règlement précise que ces registres doivent se présenter sous une forme écrite, y compris électronique, ou sous une autre forme non lisible pouvant être convertie en forme lisible.
Une seule exception est prévue à l’obligation de tenir des registres qui s’adresse aux entreprises ou organismes comptant moins de 250 salariés, sauf si le traitement qu'ils effectuent est susceptible de comporter un risque élevé au regard des droits et des libertés des personnes concernées, que le traitement n’est pas occasionnel, ou qu’il porte sur des données sensibles visées à l’article 9 (1) ou relatives à des condamnations ou infractions pénales visées à l’article 10.
Sous l’empire de la Directive, l’article 16 (2) autorisait les Etats membres à prévoir deux dérogations à l’obligation d’adresser une notification à l’autorité de contrôle préalablement à la mise en œuvre du traitement :
- la première visait les catégories de traitements qui ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées compte tenu des données à traiter et pour autant qu’ils précisent les finalités, les données ou les catégories de données traitées, les personnes concernées, les destinataires, ainsi que la durée de conservation ;
- la seconde visait l’hypothèse où le responsable a désigné un détaché à la protection des données chargé, d’une part, d’assurer le respect de la législation en matière de protection des données, et, d’autre part, de tenir un registre des traitements effectués.
En droit belge, l’article 17bis, alinéa 2 de la loi du 8 décembre donne la faculté au Roi de déterminer que le responsable du traitement désigne un préposé à la protection des données, chargé d'assurer, de manière indépendante, l'application de la présente loi et de ses arrêté d'exécution.
Toutefois, cette disposition, et donc le statut du préposé à la protection des données, n’a jamais fait l’objet d’une mesure d’exécution. Comme l’observe le rapport au Roi de l’Arrêté royal du 13 février 2001 portant exécution de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, l 'idée d'instituer un préposé à la protection des données, issue de la Directive 95/46/CE et plus précisément d'une pratique allemande, n'a jamais rencontré beaucoup d'écho en Belgique. Par conséquent, la possibilité laissée par la Directive de remplacer l’obligation de notification à l’autorité de contrôle par la tenue d’un registre par un détaché à la protection des données n’a jamais été mise en œuvre en droit belge.
En droit français, l’article 67 de la loi Informatique et Libertés met en œuvre la dérogation à l’obligation de notification à la CNIL mais seulement pour les traitements mis en œuvre aux seules fins d’exercice, à titre professionnel de l’activité de journaliste et uniquement pour autant qu’un correspondant à la protection des données soit chargé de tenir un registre des traitements mis en œuvre par le responsable.
Cette suppression de l’obligation de notification préalable peut être interprétée de deux points de vue.
Du point de vue des personnes concernées, cette évolution pourrait sembler constituer une marche en arrière. En effet, le système en vigueur permettait à chacun de s’informer des finalités du traitement et de ses principales caractéristiques, sans qu’il soit nécessaire de s’adresser aux responsables du traitement via les systèmes de registres publics tenus par les autorités, au départ des déclarations ou notifications préalables. Mais qui exerçait réellement cette possibilité ?
Du point de vue des responsables de traitement, il est évident que la suppression de ce devoir de notification préalable pourrait sembler lui permettre d’éviter d’exposer des frais importants et lui faciliter donc la vie des responsables du traitement.
La véritable charge de travail se situait en amont lorsqu’il s’agissait d’identifier et de tenir à jour une documentation relative aux traitements faisant l’objet d’une déclaration. Or, cette obligation se généralise dans le nouveau système puisqu’elle concerne toute l’activité de traitement (alors qu’avant, de nombreux traitements étaient exemptés de déclaration et n’étaient d’ailleurs souvent pas documentés en interne dans l’organisation du responsable). D’autant qu’elle visera tant les responsables du traitement que les sous-traitants, voire même leurs représentants s’ils doivent être désignés.
Afficher les articles et mots clés liés à l’article 30 expand_more
1. Chaque responsable du traitement et chaque sous-traitant ainsi que, le cas échéant, le représentant du responsable du traitement, conservent une trace documentaire de tous les traitements effectués sous leur responsabilité.
2. La documentation constituée comporte au moins les informations suivantes:
a) le nom et les coordonnées du responsable du traitement, ou de tout responsable conjoint du traitement ou de tout sous-traitant, et du représentant, le cas échéant;
b) le nom et les coordonnées du délégué à la protection des données, le cas échéant;
c) les finalités du traitement, y compris les intérêts légitimes poursuivis par le responsable du traitement, lorsque le traitement se fonde sur l'article 6, paragraphe 1, point f);
d) une description des catégories de personnes concernées et des catégories de données à caractère personnel s'y rapportant
e) les destinataires ou les catégories de destinataires des données à caractère personnel, y compris les responsables du traitement auxquels les données à caractère personnel sont communiquées aux fins de l'intérêt légitime qu'ils poursuivent;
f) le cas échéant, les transferts de données vers un pays tiers ou à une organisation internationale, y compris le nom de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l'article 44, paragraphe 1, point h), les documents attestant l’existence de garanties appropriées;
g) une indication générale des délais impartis pour l'effacement des différentes catégories de données;
h) la description des mécanismes prévus à l'article 22, paragraphe 3.
3. Le responsable du traitement et le sous-traitant ainsi que, le cas échéant, le représentant du responsable du traitement mettent la documentation à la disposition de l'autorité de contrôle, à la demande de celle-ci.
4. Les obligations visées aux paragraphes 1 et 2 ne s'appliquent pas aux responsables du traitement et aux sous-traitants relevant des catégories suivantes:
a) personnes physiques traitant des données à caractère personnel en l'absence de tout intérêt commercial;
ou b) entreprises ou organismes comptant moins de 250 salariés traitant des données à caractère personnel uniquement dans le cadre d'une activité qui est accessoire à leur activité principale.
5. La Commission est habilitée à adopter des actes délégués en conformité avec l’article 86, aux fins de préciser davantage les critères et exigences applicables à la documentation visée au paragraphe 1, pour tenir compte, notamment, des obligations du responsable du traitement et du sous-traitant et, le cas échéant, du représentant du responsable du traitement.
6. La Commission peut établir des formulaires types pour la documentation visée au paragraphe 1. Les actes d'exécution correspondants sont adoptés conformément à la procédure d'examen prévue à l'article 87, paragraphe 2.
1. Chaque responsable du traitement et (…), le cas échéant, le représentant du responsable du traitement, tiennent un registre de toutes les catégories d'activités de traitement de données à caractère personnel mises en œuvre sous leur responsabilité. Ce registre comporte (…) les informations suivantes:
a) le nom et les coordonnées du responsable du traitement et de tout responsable conjoint du traitement (…), du représentant du responsable du traitement et, le cas échéant, du délégué à la protection des données;
c) les finalités du traitement, y compris les intérêts légitimes, lorsque le traitement se fonde sur l'article 6, paragraphe 1, point f);
d) une description des catégories de personnes concernées et des catégories de données à caractère personnel s'y rapportant;
e) les (…) catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier lorsque les destinataires sont établis dans des pays tiers;
f) le cas échéant, les catégories de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale (…);
g) dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données;
h) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 30, paragraphe 1.
2 bis. Chaque sous-traitant tient un registre de toutes les catégories de traitements de données à caractère personnel effectués pour le compte du responsable du traitement, comprenant:
a) le nom et les coordonnées du sous-traitant ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, le nom et les coordonnées du représentant du responsable du traitement;
c) les catégories de traitements effectués pour le compte de chaque responsable du traitement;
d) le cas échéant, les catégories de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale;
e) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 30, paragraphe 1.
3 bis. Les registres visés aux paragraphes 1 et 2 bis se présentent sous une forme écrite, y compris électronique, ou sous une autre forme non lisible pouvant être convertie en forme lisible.
3. Sur demande, le responsable du traitement et le sous-traitant ainsi que, le cas échéant, le représentant du responsable du traitement mettent le registre à la disposition (…) de l'autorité de contrôle.
4. Les obligations visées aux paragraphes 1 et 2 bis ne s'appliquent pas:
b) aux entreprises ou organismes comptant moins de 250 salariés, sauf si le traitement qu'ils effectuent est susceptible de comporter un risque élevé au regard des droits et des libertés des personnes concernées, par exemple (...) une discrimination, un vol ou une usurpation d'identité, un renversement non autorisé de la pseudonymisation, une perte financière, une atteinte à la réputation, une perte de confidentialité de données protégées par le secret professionnel ou tout autre dommage économique ou social pour les personnes concernées, compte tenu de la nature, de la portée, du contexte et des finalités du traitement.