Modèle d'auditProcédure de gouvernance tendant à assurer la protection des données

Cette politique comprend l’ensemble des principes nécessaires pour garantir la mise en œuvre de traitements équitables et transparents, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées.

Cette politique indique les coordonnées de l'organisme, celles du délégué à la protection des données , ainsi que les engagements de l'organisme concernant le respect des principes énoncés par le règlement européen général sur la protection des données , au regard notamment

• de la mise en œuvre de traitements licites,

• du respect des droits des personnes,

• des éventuels transferts vers un pays tiers,

• des destinataires des données collectées,

• de la durée de conservation des données collectées,

• des mesures de sécurité des données.

Ces politiques sont réexaminées et actualisées si nécessaire, a minima tous les trois ans

Le registre comprenant, a minima par traitement :

• nom et coordonnées du responsable de traitement et le cas échéant du responsable conjoint du traitement, du représentant du responsable de traitement et du délégué ;

• la ou les finalités du traitement ;

• une description des catégories de personnes concernées ;

• une description des catégories de données à caractère personnel ;

• la durée de conservation associée à chaque catégorie de données ;

• les catégories de destinataires, y compris les destinataires dans des pays tiers ou des organisations internationales ;

• les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale (y compris leur identification) ainsi que les documents attestant de l’existence de garanties appropriées, conformément à l’article 49 paragraphe 1, 2ème alinéa du RGPD ;

• une description des mesures de sécurité techniques et organisationnelles (cf. article 32, paragraphe 1) ;

• l’existence ou non d’une sous-traitance (avec contrat de sous-traitance ou autre acte juridique définissant l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et droits du responsable de traitement).

   OU, si la demande est formulée par le sous-traitant :

• nom et coordonnées du (ou des) sous-traitant(s) et de chaque responsable de traitement pour lequel le sous-traitant agit, ainsi que, le cas échéant, les noms et coordonnées du représentant du responsable de traitement ou du sous-traitant et du délégué ;

• les catégories de traitements effectués pour le compte de chaque responsable du traitement ;

• les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale (y compris leur identification) ainsi que les documents attestant de l’existence de garanties appropriées, conformément à l’article 49 paragraphe 1, 2ème alinéa du RGPD;

• une description des mesures de sécurité techniques et organisationnelles.

Le délégué analyse les projets de traitements et les traitements en termes :

• de finalité du traitement,

• de proportionnalité du traitement au regard de la finalité,

• de minimisation des données collectées au regard de la finalité,

• de licéité du traitement,

• de sécurité des données collectées,

• de durée de conservation des données collectées,

• de destinataires des données collectées,

• d’encadrement des relations avec les sous-traitants,

• d’information claire et préalable des personnes concernées,

• de conditions d’’exercice des droits des personnes,

• et le cas échéant d’encadrement des transferts de données hors Union européenne.

L’organisme veille à documenter la manière dont ces principes sont respectés pour chaque traitement.

L’analyse effectuée permet d’identifier les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées, pour lesquels il est nécessaire de réaliser une analyse d’impact relative à la protection des données.

L’analyse d’impact relative à la protection des données comprend a minima :

• une description systématique des opérations de traitement envisagées et des finalités, y compris l’intérêt légitime poursuivi,

• une évaluation de la nécessité et de la proportionnalité des opérations de traitements au regard des finalités,

• une évaluation des risques pour les droits et libertés des personnes concernées,

• les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du RGPD, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées.

La procédure du demandeur prévoit la possibilité de demander l’avis des personnes concernées.

A ce titre, elle impose le recours à un contrat définissant l’objet, la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et droits de l'organisme. Le contrat respecte les prescriptions de l’article 28 du RGPD.

La procédure de l'organisme permet d’assurer que le sous-traitant auquel il recourt :

• présente des garanties suffisantes concernant la mise en œuvre de mesures techniques et organisationnelles adaptées afin que le traitement réponde aux exigences du RGPD et garantisse la protection des droits des personnes,

• recourt lui-même à un sous-traitant uniquement avec autorisation préalable du responsable de traitement.

Si ce dernier ne suit pas les observations formulées, la documentation de l’analyse d’impact relative à la protection des données doit en mentionner la raison.

L’organisme met en place une procédure facilitant l’exercice des droits des personnes (droit d’accès, de rectification, d’effacement, de limitation du traitement, à la portabilité, de définir le sort de ses données après son décès), comprenant, conformément à l’article 12 du RGPD et a minima les modalités :

• d’identification/authentification de la personne concernée exerçant ses droits,

• permettant de respecter les délais de réponse.

Si l’organisme est sous-traitant, celui-ci doit notifier au responsable de traitement dans les meilleurs délais après en avoir pris connaissance.

La notification à l’autorité compétente doit comporter a minima :

• la nature de la violation,

• les catégories et nombre de personnes concernées par la violation,

• les catégories et nombre approximatif d’enregistrements de données à caractère personnel concernés,

• le nom et les coordonnées du délégué,

• les conséquences probables de la violation de données,

• ainsi que les mesures prises et/ou à prendre pour remédier ou atténuer les éventuelles conséquences négatives.

Cette information doit comporter a minima :

• la nature de la violation,

• le nom et les coordonnées du délégué,

• les conséquences probables de la violation de données,

• ainsi que les mesures prises ou qui vont l’être pour remédier ou atténuer les éventuelles conséquences négatives.