RGPD : Registre

La philosophie générale du RGPD

La politique générale de protection des données repose sur une finalité essentielle : protéger le droit des personnes et, plus particulièrement, celui des personnes physiques à l’égard du traitement des données à caractère personnel. À cette fin, le législateur européen prévoit diverses mesures qui relèvent notamment de l’analyse d’impact ou encore de la sécurité et gestion des failles. Il revient donc aux responsables de traitement de se mettre en conformité avec le RGPD en assurant la confidentialité des données et leur anonymisation. Dans cette perspective, le registre constitue un outil essentiel pour évaluer le respect du règlement et établir la cartographie légale du traitement.

Les finalités du registre

Il ressort de la lecture combinée du considérant 82 et de l’article 30 du RGPD que le registre poursuit une fonction probatoire à l’égard des autorités de contrôle. En effet, celui-ci permet de démontrer que le responsable du traitement ou les sous-traitants respectent le droit européen. En dehors de cette finalité probatoire, la CNIL envisage l’exigence de documentation interne comme un moyen de recenser les traitements mis en œuvre et de faire le point en vue d’une mise en conformité.

Que l’on songe à l’obligation de sécuriser les systèmes d’information ou encore à celle relative à la protection des données dès la conception, en passant par celle relative à la protection des données par défaut, force est de constater que les responsabilités à la charge des responsables de traitement se sont largement accrues. Il faut souligner que les sanctions administratives ont, elles aussi, été renforcées, allant du simple avertissement à une amende de 10 à 20 millions d’euros selon l’infraction. L’absence de registre est par ailleurs susceptible de mener à la qualification d’une infraction.

Le contenu du registre

Si la tenue d’un registre existait déjà, à travers certaines règles de droit souple ou à l’égard de certaines catégories de personnes, le RGPD opère désormais une généralisation de l’obligation. Les mentions qui doivent y figurer sont prescrites à l’article 30 du RGPD et concernent tant l’identité et la localisation des acteurs du traitement, que les finalités et les catégories de données personnelles. L’on y trouve également la description générale des mesures de sécurité organisationnelles et techniques, mais aussi des indications relatives à la durée de conservation et purge. Il ne s’agit là que de quelques exemples, que les intéressés devront appréhender dans leur ensemble.