FAQ CONFIDENTIALITÉ: QUESTIONS ET RÉPONSES

Contenu

Généralités

Nos réponses aux questions générales sur la protection des données :

Qui est concerné par le RGPD ?

Le règlement général sur la protection des données (RGPD) s’applique à toutes les entreprises basées dans l’UE traitant des données personnelles de manière automatique. Les entreprises en dehors de l’UE doivent également se conformer au RGPD si elles ont une succursale dans l’UE ou traitent des données de citoyens de l’UE.

Qu’est-ce qu’une donnée personnelle ?

Les données personnelles sont toutes les informations qui identifient une personne physique ou la rendent identifiable. En plus des données générales, telles que le nom, l’adresse, la date de naissance, l’e-mail, l’adresse, la profession et la nationalité, cela comprend également des données plus sensibles qui nécessitent une protection accrue et sont donc soumises à des réglementations plus strictes en matière de traitement des données. Ces données sont affectées aux « catégories spéciales » de données personnelles. L’adresse IP représente également des données personnelles.

Que sont les « catégories spéciales » de données personnelles ?

En plus des données personnelles générales, il existe également des données particulièrement sensibles qui entrent dans la catégorie des données personnelles spéciales (voir art. 9 DS-GVO) : cela comprend les données sur l’origine raciale et ethnique, l’opinion politique, les convictions religieuses, l’appartenance syndicale, les données médicales, les données biométriques, les données génétiques, les données sur la vie ou l’orientation sexuelle. Ces catégories de données sont classées par le législateur comme particulièrement dignes de protection lors de leur traitement.

Délégué à la protection des données

Nos réponses aux questions sur les violations de la protection des données et l’obligation de notification

Qui doit désigner un délégué à la protection des données ?

Un délégué à la protection des données doit être nommé si une entreprise emploie en général au moins 20 personnes pour le traitement des données personnelles. Sont comptabilisées toutes les personnes qui effectuent un traitement régulier et constant des données dans l’entreprise. Il peut s’agir de salariés, de stagiaires ou de bénévoles. Quel que soit le nombre de personnes dans une entreprise, un délégué à la protection des données doit également être nommé si le traitement est effectué et fait l’objet d’une analyse d’impact sur la protection des données conformément à l’article 35 DS-GVO ou si l’activité principale de l’entreprise est le traitement de données particulièrement sensibles ou une observation étendue ou systématique de personnes.

Quels sont les avantages d’un délégué externe à la protection des données par rapport à un délégué interne à la protection des données?

Lors de la décision de nommer un délégué à la protection des données interne ou externe, des facteurs tels que les connaissances spécifiques, la responsabilité, la résiliation et les coûts doivent être pris en compte. Un délégué externe à la protection des données doit disposer de connaissances spécialisées certifiées et fondées. Il est toujours à jour concernant les dernières dispositions en matière de législation relative à la protection des données. Un délégué externe à la protection des données minimise le risque de responsabilité de l’entreprise. Il ne bénéficie d’aucune protection particulière contre le licenciement. Les délais de préavis pour le mandat sont réglementés contractuellement. Les coûts du service externe doivent être comparés aux coûts salariaux, ainsi qu’aux coûts de formation et de perfectionnement d’un délégué interne à la protection des données.

Combien coûte un délégué externe à la protection des données par rapport à une nomination interne ?

Lors de la nomination d’un délégué externe à la protection des données, il y a initialement des coûts différents pour l’inventaire en ce qui concerne la protection des données. Chez OBSECOM GmbH, la première étape est généralement un audit approfondi, qui est facturé séparément. Un forfait mensuel est convenu pour la coopération en cours. Le montant de la somme forfaitaire dépend des besoins de conseil de l’entreprise. Étant donné qu’un délégué à la protection des données interne doit être formé et suivre des formations continues régulières, les coûts globaux pour un délégué externe à la protection des données sont susceptibles d’être inférieurs à long terme. Les délégués internes à la protection des données bénéficient également d’une protection particulière contre le licenciement. Ainsi, la facture de la nomination en interne peut s’alourdir si l’entreprise veut se séparer du salarié.

Quelles sont les missions d’un délégué à la protection des données ?

Conformément à l’article 39 du RGPD, le délégué à la protection des données conseille et informe la direction et les employés de leurs obligations par rapport au RGPD et d’autres réglementations sur la protection des données dans le cadre du traitement des données personnelles. Le délégué à la protection des données contrôle le respect de la réglementation et fait des propositions d’amélioration. Si une analyse d’impact relative à la protection des données est effectuée, le délégué à la protection des données peut être consulté. Le délégué à la protection des données est également le lien entre l’autorité de contrôle, les personnes concernées et l’entreprise.

Que faut-il prendre en compte lors de la nomination d’un délégué externe à la protection des données ?

Lors du choix d’un délégué externe à la protection des données, il convient de prêter attention à ses qualifications professionnelles et, en particulier, à ses connaissances spécialisées. Le délégué à la protection des données doit être compétent dans le domaine de la législation et de la pratique en matière de protection des données et recevoir une formation régulière. Il est plus facile de sélectionner une personne appropriée si le délégué à la protection des données est membre d’ associations professionnelles et possède l’expertise appropriée en matière de droit informatique, de protection des données des salariés ou d’autres questions de protection des données importantes pour l’entreprise.

Violation de la protection de données personnelles

Nos réponses aux questions sur les violations de la protection des données et les exigences de déclaration :

Quand parle-t-on d’une violation de la protection des données ?

Une violation de données se produit lorsque la sécurité ou la confidentialité des informations personnelles est violée. Peu importe que cela se produise involontairement ou illégalement. Une violation de données peut, par exemple, résulter de la perte ou de la destruction de données personnelles, ou si des données personnelles sont divulguées ou rendues accessibles à un tiers sans autorisation (par exemple attaque de pirate).

Quand signaler une violation de données ?

Une violation de données doit être signalée lorsque la violation de données à caractère personnel entraîne un risque pour les droits et libertés des personnes. En cas d’infraction, la notification doit être faite à l’autorité de contrôle compétente sans retard injustifié et, si possible, dans les 72 heures suivant la connaissance de l’infraction. Cependant, il n’y a pas d’obligation de signalement si la violation n’est pas susceptible d’entraîner un risque pour les droits et libertés des personnes concernées. Le risque doit être soigneusement pesé et les raisons de la décision doivent être documentées par écrit et de manière compréhensible.

Quelles sont les conséquences d’une violation de données ?

Selon la gravité de la violation de la protection des données, l’autorité de contrôle peut imposer une amende. Lors de la détermination du montant d’une amende, le cas individuel doit être pris en considération. Entre autres choses, la gravité et la durée de la violation, l’action intentionnelle ou négligente de la personne responsable et le type de données personnelles concernées par la violation doivent être pris en compte. Le RGPD permet d’infliger des amendes allant jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice écoulé.

Exigences en matière d’informations

Nos réponses aux questions sur les obligations d’information :

Qu’est-ce qu’une politique de confidentialité et pourquoi est-elle nécessaire ?

Chaque fois qu’une entreprise responsable collecte, traite, utilise ou transmet des données personnelles à des tiers, elle doit informer les personnes concernées du traitement de ces données au moment de la collecte. Ces informations sont fournies par la politique de confidentialité. En ce qui concerne le traitement des données par un site Internet, la politique de confidentialité doit généralement être facilement accessible sur le site Internet. En fonction des autres finalités pour lesquelles l’entreprise traite les données personnelles, d’autres politiques de confidentialité doivent être fournies (par exemple pour les employés, les clients et les partenaires commerciaux).

Quelles sont les obligations d’information des entreprises vis-à-vis des personnes concernées ?

Les entreprises responsables doivent informer les personnes concernées de l’étendue et de la finalité du traitement de leurs données au moment où les données personnelles sont collectées. Les personnes concernées peuvent être des clients, des employés et des candidats, mais aussi des parties intéressées. L’étendue de la fourniture d’informations est régie par les articles 13 et 14 du RGPD. Ceci comprend:

Nom et coordonnées du responsable et, le cas échéant, coordonnées du délégué à la protection des données.
Finalité et base juridique du traitement des données personnelles.
Si le traitement est fondé sur un intérêt légitime au sens de l’article 6, paragraphe 1, point f) du RGPD, le responsable doit énumérer ces intérêts individuellement.
Les destinataires ou catégories de destinataires des données personnelles : Les destinataires peuvent également être des services internes, des sous-traitants ou des tiers.
L’intention du responsable du traitement de transférer les données vers un pays tiers en dehors de l’UE.
Informations sur la durée de conservation des données personnelles
Transparence sur les droits des personnes concernées : information, rectification, suppression, limitation du traitement, portabilité des données, opposition et droit de recours.
Existence d’un droit de recours auprès d’une autorité de contrôle

Existe-t-il des exceptions aux obligations d’information sur la protection des données ?

Oui, les informations conformément à l’article 13 DS-GVO ne doivent pas être fournies à nouveau si la personne concernée dispose déjà des informations. Les informations sur le traitement des données par des tiers conformément à l’article 14 du RGPD ne doivent pas être fournies si la fourniture des informations s’avère impossible ou nécessiterait un effort disproportionné.

Quelles obligations d’information doivent être respectées lors de l’envoi de la newsletter ?

Étant donné que les données personnelles sont traitées lors de l’envoi d’une newsletter, les exigences d’information du RGPD doivent également être respectées ici. Le destinataire d’une newsletter doit être informé de manière exhaustive du traitement des données personnelles qu’il a fournies. Étant donné que l’inscription à la newsletter est généralement basée sur le consentement du destinataire, les informations doivent contenir toutes les informations pertinentes pour permettre au destinataire de prendre une décision libre. Idéalement, la politique de confidentialité décrit comment les données des utilisateurs sont traitées dans le cadre de l’envoi de la newsletter et par quels prestataires de services externes le traitement est effectué. La politique de confidentialité doit être visible au moment de la collecte des données (inscription à la newsletter) et peut ensuite être rendue accessible à chaque envoi de la newsletter grâce à un lien intégré dans l’e-mail.

Une politique de confidentialité est-elle requise pour une Page Facebook ?

Si une page Facebook accessible au public (page d’entreprise Facebook) est exploitée, une politique de confidentialité doit y être publiée. Soit via un élément de menu, un onglet ou une entrée dans la zone d’application. Le texte intégral ou un lien vers un document externe (par exemple sur le site Web de l’entreprise) peut être intégré. L’exploitant d’une page fan et Facebook sont conjointement responsables du traitement des données sur la plate-forme. Les deux organismes doivent fournir des informations sur le traitement des données dont ils sont responsables. En particulier, la politique de confidentialité devrait contenir des informations sur les personnes auxquelles les personnes concernées peuvent s’adresser si elles souhaitent exercer leurs droits.

Autres obligations

Nos réponses aux questions sur les autres obligations en matière de protection des données :

Qu’est-ce qu’un sous-traitant ?

Un sous-traitant est une personne physique ou morale (une entreprise), une autorité publique ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable. Le sous-traitant ne peut traiter les données personnelles transmises pour traitement que sur les instructions du responsable et sur la base d’un contrat. Le sous-traitant doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données. Des exemples de sous-traitants : fournisseurs de services informatiques, fournisseurs de cloud ou entreprises de destruction de documents. Cependant, les conseillers fiscaux ou les avocats ne sont pas des sous-traitants, car ils travaillent de manière indépendante.

Quand un contrat de sous-traitance doit-il être conclu ?

Un contrat de sous-traitance doit toujours être conclu lorsqu’un prestataire de services externe accède aux données personnelles et les traite conformément aux instructions au nom du responsable.

Qu’est-ce que le registre des activités de traitement ?

Selon le RGPD, tout organisme qui traite des données personnelles est tenu de répertorier et de documenter les opérations de traitement dans un registre. L’article 30 du RGPD régit les informations que la liste doit contenir. Le registre contient, entre autres, les informations suivantes : finalités du traitement, description des catégories de personnes concernées, catégories de destinataires, transfert de données vers des pays tiers, délais de suppression et une description générale des mesures techniques et organisationnelles. Une liste incomplète ou même manquante peut être punie par une amende conformément à l’article 83, paragraphe 4, DS-GVO.