Guidelines

Ici viendront les guidelines

Retour au sommaire

Belgique

Autorité de portection des données

Recommandation relative au Registre des activités de traitements (article 30 du RGPD) - 6/2017 (14 juin 2017)

1. Le Règlement général sur la protection des données (ci-après RGPD) est entré en vigueur le 24 mai 2016 et sera d’application à dater du 25 mai 2018.

2. Au chapitre IV du RGPD qui énonce les obligations des responsables de traitement et des sous-traitants, l’article 30 met à charge des responsables de traitement et des sous-traitants une obligation de tenir un registre des activités de traitement (ci-après le Registre). Un certain nombre d’informations relatives aux traitements opérés doivent figurer dans ce Registre : dans quel but sont-elles traitées, quelles sont les catégories de personnes concernées par les données traitées, quels sont les destinataires des données, quel est leur délai de conservation etc.

3. La Commission de la protection de la vie privée (ci-après la CPVP) reçoit un grand nombre de questions relatives à ce Registre. Partant, elle adopte la présente recommandation afin de guider les responsables de traitement et les sous-traitants dans la préparation de celui-ci d’ici au 25 mai 2018, date à partir de laquelle ce Registre devra être en place et date à partir de laquelle la CPVP pourra également demander qu’il soit mis à sa disposition, dans le cadre de contrôles par exemple.

4. Pour établir ce Registre, la/les déclaration(s) préalable(s) de traitement prévue(s) à l’article 17 de la Loi Vie privée (ci-après LVP) que les responsables de traitement ont introduit auprès de la CPVP pourra/ pourront, dans une certaine mesure, être utile(s). Il sera précisé dans cette recommandation dans quelles limites, cette ou ces déclaration(s) de traitement introduite(s) et disponibles via le Registre public en ligne pourra/pourront être exploitée(s).

5. La recommandation abordera les questions suivantes :

   1. Qui doit tenir un Registre ? Existe-t-il des exceptions ?

   2. Pourquoi cette obligation de tenir un Registre ?

   3. Que doit contenir le Registre ? Quelles informations ?

   4. Comment établir le Registre ?

   5. A qui est-il destiné ?

   6. Quelle(s) sanction(s) ?

Lien

Retour au sommaire

Union Européenne

Le GDPR

Lors de l’évaluation de l’application de la Directive, il est apparu que l’obligation de notification préalable visée aux articles 18 et 19 générait une charge administrative et financière, sans pour autant avoir véritablement amélioré la protection des données.

Le législateur de l’Union a donc fait choix de remplacer cette obligation de notification par une obligation à charge des responsables du traitement et des sous-traitants, de conserver une trace documentaire des opérations de traitement sous leur responsabilité.

Ainsi, tant les responsables que les sous-traitants (et le cas échéant, leurs représentants) devront tenir des registres pour toutes les catégories d'activités de traitement relevant de leur responsabilité c’est-à-dire pour chacun des traitements qu’ils mettent en oeuvre. Ceux-ci seront mis à disposition des autorités de contrôle sur demande de celles-ci.

Ces registres devront comporter toute une série d’informations listées par le Règlement, qui diffèrent selon que ce registre est tenu par un responsable ou un sous-traitant.

Outre des informations sur l’identification des différents intervenants (responsables, sous-traitants, mais aussi responsables conjoints ou délégués à la protection des données), on y retrouve par exemple les finalités du traitement, une description des catégories de personnes concernées et des catégories de données à caractère personnel s'y rapportant, les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, les délais prévus pour l’effacement des différentes catégories de données, une description des mesures de sécurité, etc.

Le Règlement précise que ces registres doivent se présenter sous une forme écrite, y compris électronique, ou sous une autre forme non lisible pouvant être convertie en forme lisible.

Une seule exception est prévue à l’obligation de tenir des registres qui s’adresse aux entreprises ou organismes comptant moins de 250 salariés, sauf si le traitement qu'ils effectuent est susceptible de comporter un risque élevé au regard des droits et des libertés des personnes concernées, que le traitement n’est pas occasionnel, ou qu’il porte sur des données sensibles visées à l’article 9 (1) ou relatives à des condamnations ou infractions pénales visées à l’article 10.

La Directive

Sous l’empire de la Directive, l’article 16 (2) autorisait les Etats membres à prévoir deux dérogations à l’obligation d’adresser une notification à l’autorité de contrôle préalablement à la mise en œuvre du traitement :

- la première visait les catégories de traitements qui ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées compte tenu des données à traiter et pour autant qu’ils précisent les finalités, les données ou les catégories de données traitées, les personnes concernées, les destinataires, ainsi que la durée de conservation ;

- la seconde visait l’hypothèse où le responsable a désigné un détaché à la protection des données chargé, d’une part, d’assurer le respect de la législation en matière de protection des données, et, d’autre part, de tenir un registre des traitements effectués.

Belgique

En droit belge, l’article 17bis, alinéa 2 de la loi du 8 décembre donne la faculté au Roi de déterminer que le responsable du traitement désigne un préposé à la protection des données, chargé d'assurer, de manière indépendante, l'application de la présente loi et de ses arrêté d'exécution.

Toutefois, cette disposition, et donc le statut du préposé à la protection des données, n’a jamais fait l’objet d’une mesure d’exécution. Comme l’observe le rapport au Roi de l’Arrêté royal du 13 février 2001 portant exécution de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel, l 'idée d'instituer un préposé à la protection des données, issue de la Directive 95/46/CE et plus précisément d'une pratique allemande, n'a jamais rencontré beaucoup d'écho en Belgique. Par conséquent, la possibilité laissée par la Directive de remplacer l’obligation de notification à l’autorité de contrôle par la tenue d’un registre par un détaché à la protection des données n’a jamais été mise en œuvre en droit belge.

France

En droit français, l’article 67 de la loi Informatique et Libertés met en œuvre la dérogation à l’obligation de notification à la CNIL mais seulement pour les traitements mis en œuvre aux seules fins d’exercice, à titre professionnel de l’activité de journaliste et uniquement pour autant qu’un correspondant à la protection des données soit chargé de tenir un registre des traitements mis en œuvre par le responsable.

Difficultés probables

Cette suppression de l’obligation de notification préalable peut être interprétée de deux points de vue. 

Du point de vue des personnes concernées, cette évolution pourrait sembler constituer une marche en arrière. En effet, le système en vigueur permettait à chacun de s’informer des finalités du traitement et de ses principales caractéristiques, sans qu’il soit nécessaire de s’adresser aux responsables du traitement via les systèmes de registres publics tenus par les autorités, au départ des déclarations ou notifications préalables. Mais qui exerçait réellement cette possibilité ?

Du point de vue des responsables de traitement, il est évident que la suppression de ce devoir de notification préalable pourrait sembler lui permettre d’éviter d’exposer des frais importants et lui faciliter donc la vie des responsables du traitement.

Rien n’est moins certain…

La véritable charge de travail se situait en amont lorsqu’il s’agissait d’identifier et de tenir à jour une documentation relative aux traitements faisant l’objet d’une déclaration. Or, cette obligation se généralise dans le nouveau système puisqu’elle concerne toute l’activité de traitement (alors qu’avant, de nombreux traitements étaient exemptés de déclaration et n’étaient d’ailleurs souvent pas documentés en interne dans l’organisation du responsable). D’autant qu’elle visera tant les responsables du traitement que les sous-traitants, voire même leurs représentants s’ils doivent être désignés.