l'Autorité de protection des données vient contrôler, que dois-je pouvoir montrer

Le registre des activités de traitement est au cœur d'un contrôle

Lors d'un contrôle de l'Autorité des données personnelles, il s'agit dans la plupart des cas d'un seul document de référence : le registre des activités de traitement. Il énumère quelles données personnelles sont traitées, à quelle fin, qui y a accès, combien de temps elles sont conservées et si elles sont partagées avec d'autres. Ce registre n'est pas facultatif — l'article 30 du RGPD décrit ce qui doit y figurer et pour qui l'obligation s'applique. En plus du registre, une autorité de contrôle demande généralement aussi les contrats de traitement des données avec les fournisseurs qui traitent des données au nom de l'entreprise, et la façon dont la sécurité de ces données est organisée.

Ce qu'un contrôle produit d'autre dépend de ce sur quoi l'entreprise se concentre. Par exemple, on peut demander la déclaration de confidentialité destinée aux clients ou aux visiteurs du site web, la preuve qu'une violation de données a été évaluée à temps à l'époque, ou l'évaluation effectuée pour un traitement à risque. Pour qui doit déterminer ce qui doit figurer précisément dans le registre, cet outil fournit que faut-il inclure dans un registre des activités de traitement ? un aperçu des composants. Et comme un contrôle s'étend également aux accords avec les fournisseurs SaaS ou d'autres parties qui traitent des données, la réponse à que faut-il inclure dans un contrat de traitement des données ? est pertinente pour ce qui doit pouvoir être démontré.

D'où cela découle : articles 30 et 32 du RGPD

L'obligation de tenir un registre est énoncée à l'article 30 du RGPD, et ce registre est en pratique le premier document qui apparaît lors d'un contrôle. L'article 32 du RGPD décrit l'obligation de mettre en place des mesures techniques et organisationnelles appropriées pour sécuriser les données, et une autorité de contrôle peut demander comment ces mesures ont été mises en œuvre. Ces deux articles s'appliquent directement dans l'ensemble de l'Union européenne, de sorte que l'essence de ce qui doit pouvoir être démontré est la même partout. Qui effectue le contrôle et où il est demandé ou traité varie selon les pays : aux Pays-Bas, c'est l'Autorité des données personnelles, dans les autres États membres une autre autorité de contrôle nationale ayant ses propres méthodes de travail. Plus d'informations sur le rôle de l'autorité de contrôle néerlandaise se trouvent sur le site web de l'Autorité des données personnelles.