Le Règlement Général sur la Protection des Données (RGPD), est entré en vigueur le 25 mai 2018. Ce règlement, dans son article 30 prévoit la tenue d’un registre des activités de traitement.
La tenue de ce registre nĂ©cessite la mise en Ĺ“uvre de moyens financiers et humains consĂ©quents. En effet, le registre dĂ©termine la finalitĂ© et les moyens du traitement des donnĂ©es Ă caractère personnel.Â
L’objectif pour l'entreprise est de sa volonté de protéger les internautes et de ne pas user à mauvais escient des données à caractère personnel. On doit pouvoir vérifier, entre autres, que la durée de conservation des données ne dépasse pas celle nécessaire à la réalisation de la finalité du traitement. Il permet de refléter la réalité sur le traitement des données opéré par les entreprises.
Les entreprises doivent alors, depuis le 25 mai 2018, se mettre en conformité avec le RGPD. Mais qui doit tenir un registre des activités de traitement ? Qui est concerné ? Qu’est-ce qui doit y apparaître ? Quelle forme prend-t-il ? Quels sont les risques en cas de non-tenue du registre ?
Qui doit tenir un registre ?
La tenue du registre des activitĂ©s de traitement des donnĂ©es est obligatoire pour les organismes traitant les donnĂ©es personnelles, qu’ils soient publics ou privĂ©s et quelle que soit leur taille.Â
Dès lors des responsables de traitement et, le cas échant, du représentant du responsable de traitement, mais aussi le sous-traitant et, le cas échant, son représentant, doivent le tenir. En principe, le responsable de traitement est une personne morale, autrement dit l’entreprise ou encore la collectivité.
Existe-t-il des exceptions ?
Sont dispensĂ©es, les entreprises ou organismes comptant moins de 250 employĂ©s, sauf si le traitement effectuĂ© est susceptible de comporter un risque pour les droits et libertĂ© des personnes concernĂ©es. Ainsi, tel est le cas si le traitement n’est pas occasionnel ou s’il porte sur des donnĂ©es sensibles (qui relèvent de l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, etc), ou encore si les donnĂ©es sont relatives aux condamnations pĂ©nales et aux infractions.Â
Sont donc dispensées de la tenue d’un registre de traitement, les PME employant moins de 250 personnes, sauf exception. En pratique, il s’agit d’une exception extrêmement limitée, lorsque le traitement a lieu de manière occasionnelle. On peut à ce titre citer la CNIL qui indique :
En pratique, cette dérogation est donc limitée à des cas très particuliers de traitements, mis en œuvre de manière occasionnelle et non routinière, comme par exemple une campagne de communication à l’occasion de l’ouverture d’un nouvel établissement, sous réserve que ces traitements ne soulèvent aucun risque pour les personnes concernées. En cas de doute sur l’application de cette dérogation à un traitement, la CNIL vous recommande de l’intégrer dans votre registre.
Que doit contenir le registre des activités de traitement ?
En réalité, 2 registres doivent être tenus. Le premier lorsque vous opérez en tant que responsable de traitement, et le second, lorsque vous opérez en tant que sous-traitant.
Le registre tenu par le responsable de traitement
L'article 30 du RGPD énumère les différentes mentions qui doivent être présentes dans le premier registre :
- Le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué de la protection des données,
- Les finalités du traitement,
- Les catégories de personnes concernées (ex : employés ou clients) et des catégories de données à caractères personnel (ex : identité, numéro de téléphone, profession),
- Les catégories de destinataires auxquels les données à caractère personnel ont été communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales,
- Les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale,
- Si c’est possible, les délais prévus pour l’effacement des différentes catégories de données (sachant que les données ne doivent pas être conservées pour une durée supérieure à ce qui est nécessaire),
- Si c’est possible, une description des mesures de sécurité techniques et organisationnelles (ex : pseudonymisation).
Le second registre, nécessaire lorsque l'on est sous-traitant
L’article 30 du RGPD énumère les diffĂ©rentes mentions qui doivent ĂŞtre prĂ©sentes dans le second registre :Â
- Le nom et les coordonnés du ou des sous-traitant de chaque responsable du traitement pour le compte duquel le sous-traitant agit,
- Le nom et coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données (DPO),
- Les catégories de traitements effectués pour le compte de chaque responsable de traitement,
- Si tel est le cas, les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale,
- Si c’est possible, une description des mesures de sécurité techniques et organisationnelles (ex : pseudonymisation).
Sous quelle forme doit ĂŞtre tenu le registre ?
Le registre des activités de traitement doit être tenu sous forme écrite.
Tenir le registre sous forme électronique est bien sûr envisageable.
Quelles sont les sanctions en cas de non-respect ?Â
En cas de non-respect du RGPD, la sanction n’est pas des moindres. L’entreprise ou l’organisme risque en effet une amende pouvant atteindre 20 000 000 euros ou, dans le cas d’une entreprise, 4% du chiffre d’affaires mondial total de l’exercice précédent. Le montant le plus élevé est celui retenu (article 83 du RGPD).
