L’obligation de se mettre en conformit\u00e9 au RGPD<\/strong><\/span><\/h2>\n\n\n\nComme indiqu\u00e9 pr\u00e9c\u00e9demment, toute personne morale ou physique qui collecte et\/ou traite de donn\u00e9es \u00e0 caract\u00e8re personnel, doit se conformer au RGPD.<\/p>\n\n\n\n
De m\u00eame, l’article 37 du RGPD liste les diff\u00e9rentes hypoth\u00e8ses dans lesquelles le responsable d’un traitement ou un sous-traitant doit obligatoirement d\u00e9signer un \u00ab Data Protection Officer \u00bb. Il s’agit d’un nouvel acteur : le d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es (aussi appel\u00e9 DPO). Celui-ci analyse et traite toutes les probl\u00e9matiques concernant la protection des donn\u00e9es \u00e0 caract\u00e8re personnel dans l’entreprise qui l’a d\u00e9sign\u00e9. L’article 39 du r\u00e8glement europ\u00e9en d\u00e9taille les missions du DPO. A titre d’exemple, il doit conseiller l’entreprise sur ses obligations en mati\u00e8re de protection des donn\u00e9es personnelles. Il doit aussi v\u00e9rifier que ladite entreprise est en conformit\u00e9 avec le RGPD. Le DPO peut ou non \u00eatre un salari\u00e9 de l’entreprise. Il faut simplement que cette derni\u00e8re s’assure que le DPO est bien ind\u00e9pendant pour exercer ses missions.<\/p>\n\n\n\n
Le DPO et le RSSI :<\/strong>
<\/u>Avant la cr\u00e9ation du DPO, il existait d\u00e9j\u00e0 le RSSI, le Responsable de la S\u00e9curit\u00e9 du Syst\u00e8me d’Information. Le RSSI est celui qui est en charge des questions de s\u00e9curit\u00e9 du syst\u00e8me d’information. A titre informatif, un syst\u00e8me d’information correspond aux ressources v\u00e9hiculant, collectant et traitant les informations que poss\u00e8de une entreprise. Le RSSI doit donc veiller \u00e0 ce que le syst\u00e8me d’information soit prot\u00e9g\u00e9 et ne soit pas utilis\u00e9 \u00e0 mauvais escient.
De ce fait, le DPO et le RSSI n’ont pas exactement les m\u00eames missions mais doivent prot\u00e9ger les donn\u00e9es \u00e0 caract\u00e8re personnel que d\u00e9tient une entreprise. Ces deux acteurs doivent donc imp\u00e9rativement s’accorder. Il n’est pas interdit de nommer le RSSI d’une entreprise comme DPO. Pour autant, afin d’\u00e9viter un conflit d’int\u00e9r\u00eat, il est pr\u00e9f\u00e9rable de s\u00e9parer les deux fonctions et de s’assurer que le DPO soit bien un acteur ind\u00e9pendant. En effet, la CNIL d\u00e9conseille de nommer comme DPO, une personne qui est d\u00e9j\u00e0 responsable de traitement dans l’entreprise.
Par ailleurs, le DPO doit coop\u00e9rer avec la CNIL (la Commission nationale de l’Informatique et des Libert\u00e9s) alors que le RSSI doit coop\u00e9rer avec l’ANSSI (l’Agence nationale de la s\u00e9curit\u00e9 des syst\u00e8mes d’information). <\/td><\/tr><\/tbody><\/table>\n\n\n\nLe responsable du traitement doit, \u00e0 tout moment, pouvoir prouver qu’il respecte bien les principes du RGPD (article 5 du r\u00e8glement par exemple). Les dispositions relatives \u00e0 la responsabilit\u00e9 du responsable du traitement se trouvent au Chapitre IV du RGPD nomm\u00e9 \u00ab Responsable du traitement et sous-traitant <\/em>\u00bb. En effet, comme l’indique l’article 24 du r\u00e8glement, \u00ab le responsable du traitement met en \u0153uvre des mesures techniques et organisationnelles appropri\u00e9es pour s’assurer et \u00eatre en mesure de d\u00e9montrer que le traitement est effectu\u00e9 conform\u00e9ment au pr\u00e9sent r\u00e8glement. Ces mesures sont r\u00e9examin\u00e9es et actualis\u00e9es si n\u00e9cessaire <\/em>\u00bb. <\/p>\n\n\n\nDe surcro\u00eet, la personne physique concern\u00e9e dispose de plusieurs voies de recours. Le Chapitre VIII du RGPD, intitul\u00e9 \u00ab Voies de recours, responsabilit\u00e9 et sanctions <\/em>\u00bb les d\u00e9taille. Par exemple, elle dispose du droit d’introduire une r\u00e9clamation aupr\u00e8s d’une autorit\u00e9 de contr\u00f4le (article 77 du RGPD) ou encore du droit \u00e0 un recours juridictionnel contre un responsable du traitement ou un sous-traitant (article 79 du RGPD). <\/p>\n\n\n\n |