Quand les responsables du traitement des données se transforment en responsables du contrôle des données

Quand les processeurs de données deviennent des contrôleurs de données : Scénarios révélés

1. Traitement de ses propres données personnelles

Imaginons un scénario dans lequel l’entreprise X, une banque, engage l’entreprise Y, une société d’externalisation des processus d’affaires (BPO), pour fournir un service à la clientèle en son nom. Bien que la société Y traite les données des clients comme l’exige la société X, elle peut également collecter et gérer des informations personnelles sur les employés de la société X à des fins internes. Dans ce cas, l’entreprise Y devient un contrôleur de données pour les données des employés qu’elle a collectées, ce qui est une situation courante pour de nombreux processeurs de données.

1. Services professionnels avec obligations légales

Imaginons qu’une entreprise, X, engage un cabinet comptable, Y, pour gérer ses comptes. Bien que Y soit généralement un responsable du traitement des données qui suit les instructions de X, si Y découvre des irrégularités au cours du processus, il peut être tenu de les signaler. Cette obligation légale fait de Y un contrôleur de données pour les données personnelles concernées. De même, un cabinet d’avocats représentant un client dans un litige peut devenir un contrôleur de données s’il doit gérer certaines données à caractère personnel.

1. Pratique médicale

Dans le domaine des soins de santé, un hôpital peut avoir besoin de transférer un patient vers un autre établissement (B) en raison des exigences d’un traitement spécialisé. Bien que B traite initialement les données du patient sur la base des instructions de A, B devient un contrôleur de données en acceptant le transfert, responsable de la gestion et de l’utilisation des données du patient à ses propres fins de traitement.

1. Implications et conformité

Le GDPR établit des lignes directrices claires concernant les rôles des responsables du traitement des données et des sous-traitants. Les organisations doivent être conscientes que le fait de devenir un contrôleur de données implique des responsabilités et des obligations supplémentaires. Le non-respect de ces obligations peut entraîner des amendes et des mesures punitives.

1. Compréhension des contrôleurs de données et des responsables du traitement des données

Contrôleurs de données : Décideurs clés

• Déterminer l’objectif et la méthode du traitement des données.
• Responsable de la conformité au GDPR et des principes de protection des données.
• Payer les frais de protection des données et nommer un délégué à la protection des données, le cas échéant.

Responsables du traitement des données : agissant pour le compte des responsables du traitement des données

• Traiter les données conformément aux instructions du responsable du traitement.
• Mettre en œuvre des mesures appropriées pour assurer la conformité au GDPR.
• N’ont pas le même niveau de responsabilité en matière de conformité au GDPR que les responsables du traitement des données.

1. Déterminer votre rôle : contrôleur ou processeur ?

Responsables du traitement des données

• Décider de la collecte et du traitement des données à caractère personnel.
• Déterminer l’objectif et le type de données collectées.

• Disposer d’un avantage commercial en matière de traitement des données.
• Responsable de la conformité au GDPR et des principes de protection des données.

Responsables du traitement des données

• Traitement des données pour le compte de quelqu’un d’autre.
• Recevoir des données et des instructions d’un tiers.
• Mettre en œuvre les décisions relatives au traitement des données dans le cadre d’un contrat.
• Ils ne s’intéressent pas à la finalité ou au résultat global du traitement.

Responsabilités partagées : Responsabilités partagées

• Les responsables conjoints du traitement ont des objectifs communs et s’accordent sur les finalités du traitement des données.
• Également responsables des failles de sécurité, les amendes sont réparties en conséquence.

Sous-traitants : extension des responsabilités

• Les responsables du traitement des données doivent obtenir un consentement écrit préalable pour sous-traiter le traitement des données à un tiers (sous-traitant).
• Le sous-traitant secondaire reste pleinement responsable de l’exécution des obligations à l’égard du responsable du traitement des données.

1. Exemples de cas

Exemple 1 : cabinet de médecin généraliste

Le cabinet du médecin généraliste gère l’objectif et la méthode de traitement des données dans un système de rapport informatisé.

Exemple 2 : Comptable d’une entreprise

Un auditeur est un responsable du traitement des données lorsqu’il agit conformément à ses obligations professionnelles, et pas seulement aux instructions de ses clients.

Conclusion

Pour naviguer dans le paysage du GDPR, il est nécessaire de bien comprendre les rôles des responsables du traitement des données et des sous-traitants. Comme l’illustrent plusieurs scénarios, il existe des situations dans lesquelles les responsables du traitement des données se transforment naturellement en contrôleurs de données, ce qui entraîne des responsabilités supplémentaires. Les organisations doivent rester vigilantes, s’assurer de la conformité avec les lignes directrices du GDPR et demander des conseils juridiques si nécessaire pour éviter les violations et les conséquences potentielles.