Abonnement de base

Introduction

Cartographier vos données

L'établissement d'une sorte d'"inventaire des données" est une première étape très importante de votre préparation. Vous devez essayer de cartographier toutes les données que vous traitez.

Les droits de la personne concernée sont-ils garantis ?

En tant qu'entreprise, vous devez tenir compte des nombreux droits que le GDPR accorde aux personnes concernées. Procédez à une évaluation précise et identifiez les points sur lesquels vous devrez peut-être procéder à des ajustements. Il est important de savoir comment vous procéderez à l'avenir lorsque quelqu'un voudra exercer son droit ; qui en est responsable ? Cette personne sait-elle ce qu'il faut faire ? Est-ce techniquement possible ?

Êtes-vous prêt à faire face à une violation de données ?

Si vous êtes confronté à une violation de données (par exemple, votre système a été piraté et toutes vos données ont été volées), vous avez une obligation de déclaration (sans délai ou dans les 72 heures) après avoir pris connaissance de la violation.
a) Obligation d'informer la Commission de la protection de la vie privée (article 33 du RGPD) Vous devez notifier la Commission de la protection de la vie privée dans les 72 heures suivant une violation lorsque cette violation est soupçonnée de présenter un risque pour les droits et libertés des personnes. Vous ne devez signaler les infractions que lorsqu'elles sont susceptibles de causer un préjudice à la personne concernée. Par exemple, vol d'identité, violation le devoir de confidentialité, ...
b) Obligation d'informer la personne concernée (article 34 du RGPD) Lorsque la violation est susceptible de présenter un risque élevé pour les droits et libertés des personnes concernées, celles-ci doivent être informées sans délai. Par exemple, en cas de vol de données bancaires non cryptées. L'obligation d'informer la personne concernée ne s'applique pas dans les cas suivants :

• vous avez déjà pris des mesures de protection techniques et organisationnelles appropriées concernant ces données (par exemple, le cryptage).
• Vous avez ensuite pris des mesures pour éviter que le risque ne se reproduise.
• Si l'obligation de déclaration nécessiterait des efforts disproportionnés (il doit y avoir une annonce publique ou une mesure similaire tout aussi efficace).

Avez-vous besoin d'un délégué à la protection des données (DPD) ?

La désignation d'un DPD est une nouveauté. Certaines entreprises devront nommer un DPD, une sorte de conseiller en matière de prévention des atteintes à la vie privée. Il s'agit d'une personne possédant à la fois des connaissances spécialisées et pratiques en matière de protection de la vie privée, qui doit aider l'entreprise à contrôler la conformité interne avec le GDPR (art. 37-39).

• Un DPD fournit des informations et des conseils sur les obligations du GDPR à votre entreprise.
• Un DPD surveille la conformité au GDPR.
• Le DPD est le point de contact central en matière de protection des données (à la fois pour l'entreprise, pour le comité de protection de la vie privée et pour les personnes dont les données ont été traitées).
• Un DPD conseille l'entreprise sur l'analyse de risque obligatoire et ses résultats.

Quand désigner un DPD ?

Devez-vous effectuer une analyse d'impact sur la protection des données (DPIA) ?

Certaines entreprises devront effectuer (ou avoir effectué) un DPIA, une sorte d'audit de sécurité, pour certaines opérations de traitement.
Si l'AIPD indique que le traitement des données à caractère personnel présente un risque élevé ET si vous ne pouvez pas atténuer ce risque élevé par des mesures raisonnables compte tenu de la technologie disponible et des coûts de mise en œuvre, vous devez demander l'avis de la Commission de la protection de la vie privée et prendre les mesures nécessaires pour atténuer le risque. Cette obligation ne s'applique qu'aux situations à haut risque. L'évaluation d'un "risque élevé" doit toujours se faire en fonction des types de données à caractère personnel, du volume et de la fréquence du traitement (articles 35 à 36). Par exemple, lorsqu'une nouvelle technologie est mise en œuvre ou lorsqu'une opération de profilage peut avoir un effet significatif sur la personne concernée.

Disposez-vous d'un registre des activités de traitement ?

Toute entreprise traitant des données à caractère personnel devra tenir un registre de ses activités de traitement (article 30).

Finalisation du dossier

Nous nous engageons à protéger la vie privée de nos clients et nous nous efforçons constamment de nous conformer au règlement général sur la protection des données (RGPD) de l'Union européenne. Pour nous assurer que nous sommes pleinement conformes aux réglementations GDPR, nous demandons à tous les départements de notre entreprise de remplir ce questionnaire et d'évaluer si la nomination d'un représentant GDPR de l'UE est nécessaire.