Le Règlement Général sur la Protection des Données (RGPD), en vigueur depuis mai 2018, a été conçu pour protéger les données à caractère personnel des individus au sein de l’Union Européenne. L’article 28 du RGPD établit les obligations et responsabilités des acteurs clés impliqués dans le traitement des données, à savoir le responsable du traitement et le sous-traitant. Cet article est essentiel pour garantir la conformité légale et protéger les droits des personnes concernées, tout en définissant des mesures claires pour prévenir les violations de données.
1. Définition des termes clés
1.1 Responsable du traitement
Le responsable du traitement est défini comme la personne physique ou morale qui détermine les finalités et les moyens du traitement des données personnelles. En d’autres termes, c’est celui qui décide comment et pourquoi les données sont utilisées, engageant ainsi sa responsabilité en matière de protection des données.
1.2 Sous-traitant
Le sous-traitant agit au nom du responsable du traitement et ne peut traiter les données personnelles que selon ses instructions. Sa fonction est de réaliser des opérations de traitement précises, tout en respectant les directives fournies par le responsable.
2. Obligations du responsable du traitement
L’article 28 impose plusieurs obligations cruciales au responsable du traitement, notamment :
- Sélection rigoureuse du sous-traitant : Le responsable doit s’assurer que le sous-traitant offre des garanties suffisantes concernant la mise en œuvre de mesures techniques et organisationnelles appropriées. Cela inclut la capacité à protéger les données contre les accès
- non autorisés.
- Établissement d’un contrat : Un contrat écrit est impératif pour formaliser la relation. Ce contrat doit stipuler les obligations spécifiques en matière de protection des données, les finalités du traitement, et la durée pendant laquelle les données seront traitées.
- Notification des violations : En cas de violation de données, le responsable du traitement doit informer l’autorité de contrôle compétente sans délai et, si possible, dans les 72 heures suivant la prise de connaissance de la violation.
3. Obligations du sous-traitant
Les obligations du sous-traitant sont également strictement définies dans l’article 28 :
- Traitement sur instruction : Le sous-traitant doit traiter les données uniquement sur instruction du responsable. Il ne doit pas agir de manière autonome, ce qui garantit un contrôle total au responsable du traitement.
- Mesures de sécurité : Il est essentiel que le sous-traitant mette en œuvre des mesures techniques et organisationnelles adéquates pour protéger les données personnelles, minimisant ainsi les risques de violation.
- Engagement de confidentialité : Le sous-traitant doit garantir que toute personne autorisée à traiter les données s’engage à respecter la confidentialité.
4. Le contrat : un outil essentiel
Le contrat entre le responsable du traitement et le sous-traitant doit contenir des éléments précis :
- Nature et finalité du traitement : Une description claire des opérations de traitement réalisées.
- Durée du traitement : Spécifier la durée pendant laquelle le sous-traitant traitera les données.
- Obligations et droits du responsable : Énoncer les droits du responsable du traitement, notamment en matière de contrôle et de vérification des mesures prises par le sous-traitant.
Clauses contractuelles types : Utiliser des modèles de clauses contractuelles types, approuvées par la Commission européenne, peut faciliter la conformité et renforcer la protection des données.
5. Délégué à la protection des données (DPO) : Interne ou Externe
La désignation d’un Délégué à la Protection des Données (DPD) est une étape cruciale pour assurer la conformité au RGPD. Le DPD peut être interne à l’organisation ou externe, selon les besoins et la structure de l’entité.
5.1 DPO Interne
- Un DPO interne est généralement un membre du personnel qui connaît bien les opérations et la culture de l’entreprise. Ses avantages incluent :
- Compréhension approfondie : Il a une connaissance intime des processus internes et des défis spécifiques liés à la protection des données.
- Accessibilité : Être sur place facilite la communication et la mise en œuvre des pratiques de conformité au quotidien.
5.2 DPO Externe
Un DPO externe, souvent un consultant ou une société spécialisée, peut apporter une expertise approfondie et des perspectives nouvelles. Ses avantages incluent :
- Expertise spécialisée : Un DPO externe peut offrir une connaissance actualisée des réglementations et des meilleures pratiques en matière de protection des données.
- Objectivité : Étant externe à l’organisation, il peut fournir une vision impartiale et des recommandations sans conflit d’intérêts.
- 5.3 Rôle du DPO
Quel que soit le choix entre un DPO interne ou externe, le rôle principal du DPO est de :
- Conseiller et former : Éduquer le personnel sur les obligations du RGPD et les bonnes pratiques en matière de protection des données.
- Surveiller la conformité : Assurer que toutes les activités de traitement respectent les exigences légales et réglementaires.
- Point de contact : Servir de liaison entre l’organisation et l’autorité de contrôle, facilitant les communications sur les questions de conformité.
6. Sanctions en cas de non-respect
Le non-respect des dispositions de l’article 28 peut entraîner des sanctions significatives. En vertu du RGPD, les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total, selon le montant le plus élevé. Ces sanctions visent à encourager les responsables et les sous-traitants à prendre au sérieux leurs obligations de protection des données.
7. Bonnes pratiques pour la mise en œuvre
Pour garantir la conformité avec l’article 28, il est recommandé de suivre certaines bonnes pratiques :
- Évaluation des risques : Réaliser régulièrement une évaluation des risques liés aux opérations de traitement pour identifier et atténuer les dangers potentiels.
- Formation et sensibilisation : Former le personnel sur les exigences du RGPD et les bonnes pratiques en matière de protection des données.
Documentation : Maintenir une documentation détaillée des opérations de traitement, des contrats et des mesures de sécurité mises en œuvre.
Pour finir :
L’article 28 du RGPD constitue une pierre angulaire pour la protection des données à caractère personnel au sein de l’Union Européenne. Il définit clairement les obligations des responsables du traitement et des sous-traitants, assurant ainsi une gestion responsable et sécurisée des données. En respectant ces exigences et en adoptant des mesures proactives, les organisations peuvent non seulement se conformer à la législation, mais également renforcer la confiance des individus dans la protection de leurs données personnelles. L’engagement envers la conformité réglementaire et la protection des données est essentiel dans le monde numérique d’aujourd’hui.
Auteur : Maître Leben, avocat au barreau de Paris
