Qui est responsable ?

Comprendre le RGPD

Shalini Kurapati, CIPP/E

Co-founder, Clearbox AI

Rôles clés du RGPD

  • Responsable du traitement
  • Sous-traitant
  • Délégué à la protection des données (DPD/DPO)
  • Autorité de contrôle (SA) / Autorité de protection des données (DPA)
Comprendre le RGPD

Responsable du traitement

  • Décide des finalités et des moyens du traitement
  • Décisions conjointes = responsables conjoints
  • Responsable en dernier ressort

Exemple : une pâtisserie externalise la paie

  • Responsable du traitement : la boutique
  • Sous-traitant : la société de paie
Comprendre le RGPD

Sous-traitant

Illustration d'un écran d'ordinateur portable avec des graphiques d'analyse de données et deux mains tapant au clavier. L'image représente un sous-traitant.

  • En général, un tiers/sous-traitant qui traite des données à caractère personnel pour le compte du responsable
  • Pas de responsabilité directe
  • Conditions fixées par un accord de sous-traitance
  • Alignement sur les obligations du responsable pour la conformité
Comprendre le RGPD

Délégué à la protection des données (DPD/DPO)

Illustration d'un DPO représenté par une femme pointant un symbole de cadenas représentant la protection des données.

  • Surveille, conseille, aide à se conformer
  • Coopère avec l'autorité et sert de point de contact
  • Tant pour responsables que sous-traitants
  • Obligatoire pour :
    • Organismes publics
    • Traitements à risque élevé
  • Le risque prime, pas la taille de l'entreprise
1 Lignes directrices sur les délégués à la protection des données (« DPO ») (wp243rev.01)
Comprendre le RGPD

Autorité de contrôle ou autorité de protection des données

Plusieurs drapeaux de l'UE devant un bâtiment à Bruxelles.

  • Autorité publique indépendante
  • Amendes en cas de non-conformité
  • Chaque État membre a une SA/DPA
    • Garante per la Protezione dei Dati Personali (ITA)
    • Autoriteit Persoonsgegevens (NL)
1 https://edpb.europa.eu/about-edpb/about-edpb/members_en
Comprendre le RGPD

Violations de données : que faire ?

Qu'est-ce qu'une violation de données ?

  • Perte, accès illicite ou divulgation
  • Confidentialité, intégrité, disponibilité

Que faire ?

  • Notifier la SA/DPA sans délai
  • Dans un délai de 72 heures
  • En cas de risque élevé, informer les personnes concernées et suivre d’éventuelles actions

Exemple : piratage d'une place de marché en ligne

  • DPO : rôle essentiel
  • Registre des violations de données
  • Politique de gestion des violations
1 Lignes directrices sur la notification des violations de données à caractère personnel au titre du Règlement 2016/679, WP250 rev.01
Comprendre le RGPD

Coordination entre pays

Logo du Comité européen de la protection des données.

Liste des membres du CEPD avec leurs drapeaux respectifs

  • Application cohérente des règles
  • Coopération entre les membres
  • 27 autorités de contrôle de l'UE
  • EDPS, Contrôleur européen de la protection des données
  • Islande, Norvège et Liechtenstein sans droit de vote
1 https://edpb.europa.eu/about-edpb/about-edpb/members_en
Comprendre le RGPD

Passons à la pratique !

Comprendre le RGPD

Preparing Video For Download...