Conformément à l’article 5, paragraphe 2, du RGPD, le responsable du traitement est responsable du respect de tous les principes du RGPD mentionnés à l’article 5, paragraphe 1, et doit être en mesure de le démontrer. Cela inclut le principe de responsabilité (voir “Principe de responsabilité” dans la partie II, section “Principes” des présentes lignes directrices).
Le principe de responsabilité du RGPD est fondé sur le risque : plus le risque du traitement des données pour les droits et libertés fondamentaux des personnes concernées est élevé, plus les mesures nécessaires pour atténuer ces risques sont importantes.[1] Le principe de responsabilité repose sur plusieurs obligations de conformité pour les responsables du traitement des données, notamment : des obligations de transparence (articles 12-14) ; la garantie de l’exercice des droits en matière de protection des données (articles 15-22) ; la tenue de registres des opérations de traitement des données (article 30) ; la notification des éventuelles violations de données à une autorité de contrôle nationale (article 33) et aux personnes concernées (article 34) ; et, en cas de risque plus élevé, le recrutement d’un DPD et la réalisation d’une AIPD (article 35).
| Liste de contrôle[2] :
Le responsable du traitement a documenté la manière dont les effets indésirables du système ou de l’outil sont détectés, arrêtés et empêchés de se reproduire. Le responsable du traitement a documenté toutes les mesures prises par l’organisation, ainsi que les garanties mises en œuvre, pour assurer la conformité avec le règlement sur la protection des données. Si les données sont utilisées à des fins compatibles, le responsable du traitement a documenté de manière adéquate la réalisation du test de compatibilité. Le responsable du traitement a documenté toutes les AIPD réalisées, les activités réalisées par le DPD correspondant et ses interactions avec les APD correspondantes (le cas échéant). |
- Voir les articles 24, 25 et 32 du RGPD, qui exigent que les responsables du traitement prennent en compte les “risques de probabilité et de gravité variables pour les droits et libertés des personnes physiques” lorsqu’ils adoptent des mesures spécifiques de protection des données. ↑
- Cette liste de contrôle a été élaborée sur la base des lignes directrices 04/2020 de l’EDPB sur l’utilisation des données de localisation et des outils de recherche des contacts dans le contexte de l’épidémie de COVID-19, adoptées le 21 avril 2020. ↑