Saisie de données personnelles sous RGPD (GDPR)
Le 25 mai 2017 la nouvelle loi RGPD (Règlement Général sur la Protection des Données, GDPR en Anglais) rentrera en vigueur, de nombreuses sociétés ne sont pas prêtes. Ce texte bouleverse les habitudes en matière de saisie de données personnelles et modifie grandement le rapport entre le responsable de traitement et ses sous traitants.
pour rappel :
Le responsable de traitement est la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre.
Le sous traitant : la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.
Par ailleurs la responsabilité du responsable de traitement est engagée avec celle du sous traitant.
Pour rappel le principe général est que les transferts de données à caractère personnel hors du territoire de l’Union européenne sont interdits à moins que le pays ou le destinataire n’assure un niveau de protection suffisant. Dans l’immense majorité des cas, à part pour quelques pays, il sera indispensable dans le cas d’un transfert hors EU d’obtenir une autorisation spécifique de la CNIL (dans un délai plus ou moins long sans aucune garantie d’acceptation) en présentant des Binding corporate Rules (BCR) & clauses contractuelles types très contraignantes et parfois difficile à mettre en place.
En qualité de « sous traitant » en saisie de données personnelles nous sommes donc soumis à des règles strictes devant offrir plusieurs garanties au responsable de traitement à la fois contractuelles, organisationnelles et techniques.
Voici les 3 garanties que nous offrons au responsable de traitement en plus de notre principal avantage qui est que notre centre de traitement pour les données personnelles soit géographiquement situé à l’intérieur de L’EU
1- Un contrat avec des garanties contractuelles en matière de saisie de données personnelles :
Confidentialité des données
Propriété intellectuelle des données
Non diffusion des données
Non duplication des données
Délai de stockage des données
Délai de destruction des données après livraison
Garantie de non transfert des données vers un pays tiers
Garantie de non transfert des données vers un sous traitant tiers
2- Un registre de traitement mise à jour et disponible sur simple demande
Sur ce registre (étant une obligation légale pour les sociétés de plus de 250 salariés) figure :
Nom et coordonnées de l’établissement principal concerné par le traitement.
Nom et coordonnées de notre représentant
Nom du responsable de traitement pour lequel nous agissons (donneur d’ordre)
Les coordonnées de son DPO (délégué à la protection des données) au sein de son organisation.
Un historique des catégories de traitement effectués pour le compte du responsable du traitement, à savoir, pour chaque lot traité :
Une description des catégories de données traitées (par exemple, données d’identification, données financières, données de géolocalisation, etc.
Une description du traitement (saisie, catégorisation, enrichissement etc)
Une description des catégories de personnes dont les données sont traitées (ex : clients, visiteurs du site web, prospects, employés, prestataires, mineurs d’âge, etc.)
Une description générale des mesures de sécurité techniques et organisationnelles que nous avons mises en place. (voir paragraphe suivant)
3- Des mesures de sécurité techniques et organisationnelles adaptées à la saisie de données personnelles.
Le règlement européen 2016/679 du 27 avril 2016 (dit « règlement général sur la protection des données » ou RGPD) précise que la protection des données personnelles nécessite de prendre des « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque » (article 32).