Comment remplir le questionnaire de confidentialité d'un client ?

Le questionnaire demande ce que vous enregistrez déjà dans votre registre des activités de traitement

Un questionnaire de confidentialité d'un responsable de traitement porte généralement sur les mêmes sujets que le registre des activités de traitement : quelles données à caractère personnel sont traitées, dans quel but, combien de temps elles sont conservées, qui y a accès et si un sous-traitant est impliqué. Celui qui a déjà mis ce registre en ordre peut répondre directement à la plupart des questions à partir de celui-ci. Les questions sur la sécurité — chiffrement, contrôle d'accès, sauvegardes — relèvent des mesures techniques et organisationnelles que le responsable de traitement souhaite voir avant de partager des données avec vous.

Une partie du questionnaire porte souvent sur l'organisation : un délégué à la protection des données a-t-il été désigné, existe-t-il une procédure en cas de violation de données, et auprès de qui cela est-il signalé. Ce dernier point varie selon les pays : aux Pays-Bas, c'est l'Autorité de protection des données, en Allemagne, c'est l'autorité de contrôle de l'État fédéral où se trouve l'établissement. L'obligation de désigner soi-même un délégué à la protection des données n'a pas de seuil basé sur le nombre d'employés aux Pays-Bas — cela découle de l'article 37 du RGPD — tandis que l'Allemagne utilise un nombre d'employés comme limite selon le § 38 BDSG. Pour un lecteur actif dans plusieurs pays, il est donc important de vérifier par établissement quel niveau s'applique, plutôt que de donner une seule réponse pour l'ensemble de l'organisation.

Justification : l'obligation de rendre des comptes de l'article 5 du RGPD

Le fait qu'un responsable de traitement pose ce type de questions et que vous puissiez y répondre découle de l'obligation de rendre des comptes énoncée à l'article 5 du RGPD : une organisation doit non seulement se conformer aux principes du règlement, mais aussi pouvoir le démontrer. Un questionnaire est en fait le responsable de traitement qui vous fait supporter en partie sa propre obligation de rendre des comptes. L'Autorité de protection des données publie des explications générales sur ces principes, sans qu'un format de questionnaire client ne s'en dégage — chaque responsable de traitement le remplit lui-même.