À l’ère du numérique, la protection des données personnelles s’impose comme l’une des missions primordiales pour les entreprises en relation avec de nombreux particuliers, candidats à l’embauche et salariés. Le contrôle interne du traitement des données personnelles relève des attributions essentielles du Délégué à la protection des données (Data Protection Officer / DPO). Cet article examine la manière dont le DPO exerce ce contrôle interne et met en lumière les étapes clés qui l’accompagnent dans l’accomplissement de cette fonction cruciale.
Il est impossible pour le DPO d’exercer sa mission primordiale de contrôle interne sans accomplir d’autres attributions connexes, notamment :
Après sa nomination, le DPO assure généralement le contrôle interne du traitement des données personnelles de l’entreprise. Pour ce faire, il peut suivre un plan structuré, étape par étape. Par exemple :
Étape 1. Évaluer l’efficacité de la méthode retenue pour le traitement des données personnelles.
Le DPO peut définir une période (par exemple, une année civile ou une autre période) durant laquelle il surveillera le traitement des données personnelles dans tous les services de l’entreprise.
Étape 2. Analyser les processus métier liés au traitement des données personnelles.
Pour cette étape, il peut être nécessaire d’élaborer une procédure d’interaction avec les services de l’entreprise concernant le traitement des données personnelles (le registre des traitements). Ce document peut notamment préciser les processus de traitement et les services qui les mettent en œuvre. Il est également logique d’y indiquer la finalité de chaque processus, les catégories de données personnelles traitées, leur source et leur durée de conservation.
Étape 3. Préparer des projets de documents ou vérifier les documents existants
À ce stade, le DPO prépare des projets de documents définissant la politique de l’entreprise opératrice ou d’une personne habilitée en matière de traitement des données personnelles, ou vérifie la conformité des documents existants aux exigences applicables. Le DPO vérifie également qu’un nombre illimité de personnes peut accéder à la politique.
Des politiques distinctes peuvent être nécessaires pour les différents processus métier liés au traitement des données personnelles. Par exemple, des politiques spécifiques peuvent être élaborées pour le traitement des données personnelles des salariés, la vidéosurveillance et les cookies.
Dans la ou les politiques, il convient d’indiquer clairement, par exemple sous forme de tableau, la correspondance entre les finalités et les fondements du traitement des données personnelles, les personnes concernées, la liste des données personnelles et la durée du traitement.
L’accès d’un nombre illimité de personnes à la politique est justifié lorsqu’elle porte sur le traitement des données personnelles des visiteurs du site ou des utilisateurs des services, par exemple. Cette politique est publiée sur le site de l’entreprise.
La politique de traitement des données des salariés n’a pas à être publiée sur le site de l’entreprise. Il suffit de la porter à leur connaissance, notamment en l’affichant dans des lieux accessibles, y compris en ligne.
Étape 4. Vérifier si les salariés et les autres personnes qui traitent des données personnelles connaissent les exigences de protection et les politiques, et si des formations ont été organisées
Les salariés, les stagiaires et les prestataires sont informés des exigences de protection des données personnelles, des politiques et des sanctions encourues en cas de violation des règles relatives au traitement des données des salariés.
Les salariés qui traitent des données personnelles sont généralement formés au sein même de l’entreprise. Cette formation peut également être dispensée par des organismes tels que le Centre national de protection des données personnelles.
Après la formation, l’entreprise organise généralement un contrôle des connaissances selon des modalités qu’elle définit, par exemple sous la forme d’un test ou d’un entretien.
Étape 5. Vérifier si les fonctions des personnes qui traitent des données personnelles comportent des dispositions relatives au traitement de ces données et à la responsabilité disciplinaire applicable pendant le traitement
Il convient de vérifier si les fiches de poste des personnes qui traitent directement les données personnelles précisent qu’elles doivent respecter les exigences relatives au traitement des données établies par l’État et par l’entreprise.
Étape 6. Vérifier si la procédure d’accès aux données personnelles est définie
La procédure d’accès aux données personnelles peut être consignée dans un document unique ou dans plusieurs documents lorsque l’entreprise a adopté des processus métier distincts et non chevauchants pour le traitement des données personnelles. Par exemple, le traitement des données personnelles dans les systèmes d’information et la vidéosurveillance peuvent être régis par plusieurs documents sur les modalités d’accès aux données personnelles.
Étape 7. Vérifier s’il existe une protection technique et cryptographique des informations
Si l’entreprise possède des ressources informationnelles contenant des données personnelles, il convient de vérifier que la liste de ces ressources et les catégories de données personnelles qu’elles contiennent sont à jour.
Étape 8. Vérifier si la liste des personnes habilitées a été établie et est à jour, le cas échéant
Cette liste est souvent tenue sous forme de tableau indiquant notamment les personnes habilitées, les données personnelles qu’elles traitent et les finalités de ces traitements.
Étape 9. Vérifier s’il est nécessaire d’inscrire des informations au Registre des opérateurs de données personnelles
Les entreprises qui disposent de ressources et de systèmes d’information dans lesquels des données personnelles sont traitées ne sont pas toujours tenues d’inscrire des informations sur ces ressources et systèmes au Registre des opérateurs. L’inscription n’est requise que dans certains cas :
Étape 10. Vérifier comment sont consignées les informations relatives au transfert de données personnelles à des tiers.
La consignation de ces informations permet de renseigner les personnes sur le traitement de leurs données. À cette fin, des tableaux sont généralement tenus sous forme électronique dans les systèmes de journalisation des ressources électroniques. Ces sources doivent permettre d’identifier à qui, quand et sur quel fondement l’entreprise opératrice a transféré des données personnelles.
Étape 11. Vérifier si la procédure de réponse aux incidents de violation de la protection des données personnelles et de notification au Centre national de protection des données personnelles est définie
L’opérateur doit notifier immédiatement au Centre national de protection des données personnelles les violations des systèmes de protection des données personnelles, et au plus tard dans les trois jours ouvrables suivant le moment où il en a eu connaissance.
Si la violation n’a pas entraîné la diffusion illicite, la modification ou la destruction de données personnelles, aucune notification n’est nécessaire.
Étape 12. Vérifier si la procédure de conservation, de suppression et de blocage des données personnelles est définie
La suppression des données personnelles comprend la destruction des supports de données ou les opérations qui rendent impossible la restauration des données personnelles dans une ressource (un système) d’information. La procédure de suppression dépend du support sur lequel les données personnelles sont conservées. Lors de la détermination de la durée de conservation des données personnelles, l’État doit guider le processus en fixant les durées de conservation des documents.
Le respect de toutes ces étapes peut indiquer que le traitement des données personnelles au sein de l’entreprise satisfait globalement aux exigences établies. Toutefois, il n’existe pas d’approche unique applicable à toutes les entreprises en activité. Chaque entreprise présente ses propres risques ; le contrôle interne du traitement des données personnelles doit donc comparer les mesures de protection prises aux risques propres à cette entreprise. Cette approche est appelée « approche fondée sur les risques ».
Grâce au contrôle interne du traitement des données personnelles, le DPO peut détecter les risques propres à certains processus métier. Une vérification du Centre national de protection des données personnelles ou des réclamations de personnes concernant le traitement de leurs données peuvent également permettre d’identifier des risques.
Sur cette base, le DPO informe la direction de l’entreprise des risques identifiés et préconise des mesures additionnelles pour les atténuer, venant s’ajouter au dispositif de protection existant.
Nos avocats et nos spécialistes en sécurité de l’information disposent d’une solide expérience du contrôle interne du traitement des données personnelles et de la protection des informations relatives aux données personnelles.
Nous pouvons :
Si vous avez des questions ou des litiges concernant le contrôle interne du traitement des données personnelles, nous serons heureux de vous aider ! Notre longue expérience en matière de versement de dividendes vous aidera à résoudre tout différend dans ce domaine.
De nos jours, la confidentialité et la protection des informations personnelles sont devenues l’un des aspects fondamentaux de l’exercice d’une activité commerciale. Compte tenu des exigences et réglementations juridiques strictes encadrant le traitement des données à caractère personnel, les entreprises doivent faire preuve d’une grande responsabilité et d’une attention soutenue à cet égard. Dans cet […]
Au plus tard le 15 janvier 2024, les opérateurs de données personnelles doivent transmettre les informations au Registre des opérateurs de données personnelles. Et lorsqu’une ressource (un système) d’information est créée après le 1er janvier 2024, les informations aux fins d’inscription au Registre des opérateurs doivent être transmises dans un délai de 10 jours suivant […]
La protection des données personnelles est devenue l’un des sujets majeurs de notre époque, en particulier dans un espace numérique en constante expansion. Ces dernières années, les gouvernements et les organisations du monde entier accordent une attention accrue au traitement sécurisé des informations nominatives. L’une des étapes les plus significatives à cet égard a été […]
