Nouvelles obligations incombant au RT et au ST : la notion d’accountability*

Le RGPD impose de nouvelles obligations aux responsables de traitement (RT) et aux sous-traitants (ST) en matière de protection des données personnelles. L’une des principales obligations est la notion d’accountability, qui implique que les RT et les ST doivent être en mesure de démontrer la conformité de leurs traitements de données aux exigences du RGPD, obligations incombant au RT et au ST.

Pour cela, les RT et les ST doivent mettre en place des mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité des données personnelles, et être en mesure de les faire respecter. Ils doivent également établir des procédures pour traiter les demandes des personnes concernées, comme le droit d’accès, de rectification ou d’effacement de leurs données personnelles.

En cas de non-conformité, les RT et les ST sont responsables des sanctions prévues par le RGPD, qui peuvent aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires global annuel, selon la gravité de la infraction.

Exemples d’actions concrètes (non exhaustives) pouvant être mises en œuvre par le RT** afin que ce dernier puisse justifier du respect du RGPD :

• Tenir un registre des traitements de données à caractère personnel
• Adopter une procédure permettant de répondre dans les meilleurs délais à l’exercice des droits des personnes : droit d’accès, droitd’opposition, droit à l’effacement des données…
• Mettre en place une Politique de durée de conservation
• Supprimer/Archiver automatiquement toute ou partie des données lorsque la durée de conservation arrive à son terme
• Être en mesure de conserver et rapporter la preuve à tout moment du recueil du consentement
• Prendre en compte la protection des données personnelles dès la conception d’une application ou d’un traitement (Privacy by design/Privacy by default)
• Désigner un DPO
• Sensibiliser et former les membres du personnel Adopter des codes de conduite
• …

Le seul fait de ne pas fournir à l’autorité de contrôle les éléments attestant de la conformité du/des traitement(s) concerné(s) est susceptible d’entrainer une sanction. (lire notre fiche n°12 – Sanctions)**RT : Responsable de traitement