Responsabilités et obligations d'un chef d'entreprise
Les grandes lignes des obligations imposées aux responsables d’entreprise
sur la protection des données.
Vous avez l'obligation de démontrer à tout instant que vous respectez bien la règlementation (organisme de contrôle, CNIL).
En tant qu'employeur :
gestion de paie, suivi social et relation sociale, recrutement, gestion RH
Au sujet de votre cœur d’activité :
gestion clientèle, données collectées, traitées, classées, enregistrées, sauvegardées et transmises
Qui est le responsable des données / le responsable de traitement ?
Le responsable du traitement est incarné par le représentant légal de l’office notarial.
Il doit garantir le respect des obligations prévues aux articles 32 à 36 du règlement européen RGPD.
Comment faire pour répondre aux obligations légales ?
Tenir à jour un registre de traitement de données (document obligatoire, article 30), en premier lieu.
Comment faire pour mettre en œuvre le registre de traitement des données ?
- Identifier les activités principales de traitement de données à caractère personnel (salariés, clients, accès locaux, tous les supports papier/numérique/autre)
- Créer une fiche d'activité de traitement (modèle site CNIL)
- Pour les entreprises de moins de 250 personnes ; seuls certains traitements seront à inscrire dans le registre :
- ceux qui sont récurrents (paie des salariés, gestion des clients et fournisseurs)
- ceux qui comportent un risque pour les droits et libertés des personnes (vidéosurveillance, ...)
- ceux qui concernent les traitements de données sensibles (casier judiciaire, données de santé, ...)
Attention, le registre des activités de traitement permet de recenser les traitements de données à caractère personnel. Il permet de disposer d’une vue d’ensemble des traitements. D’autres points et dispositions obligatoires accompagnent le registre de traitement. (cf. site CNIL)
Une stratégie de sécurisation des données est obligatoire par exemple :
Vous êtes tenu d’assurer la sécurité des données à caractère personnel détenues par votre structure, en vertu de l'article 32, en tant que représentant légal de l'étude.
Zoom sur la mission DPD (Délégué à la protection des données, DPO en anglais DPO) :
Sauf pour certains organismes, la nomination d’un DPD n’est pas systématiquement obligatoire.
La désignation d’un DPD est fortement recommandée, notamment parce qu’organiser la sécurité des données, répondre aux demandes d’exercice de droits des personnes et réagir de manière adéquate lors d’une violation de données ne s’improvise pas.
DPD est un vrai métier avec une expertise et contribue à favoriser la confiance avec les clients.
Genapi ne peut pas être DPD pour ses clients.
Vous devez être capable de répondre aux questions suivantes (vos obligations) :
Obligation de transparence, lors de la collecte des données, vous avez un devoir d’informer vos clients et usagers (article 5) :
- le pourquoi de la collecte (la finalité, article 16 au RGPD) ;
- ce qui vous autorise à le faire (licéité, articles 6,9 du RGPD) ;
- qui a accès aux données : salarié, prestataire(s), le service comptabilité, sous-traitants, etc ;
- combien de temps seront-elles conservées ;
- comment les personnes peuvent exercer leurs droits sur les données ;
- si des données seront transférées en dehors de l’Union Européenne ;
La CNIL a le pouvoir d’effectuer des contrôles auprès de l’ensemble des organismes qui traitent des données à caractère personnel.
Les entreprises privées, les associations ou encore les organismes publics peuvent ainsi faire l’objet d’un contrôle de la Commission.
Ces contrôles peuvent se dérouler sur place, sur pièces, sur audition ou en ligne.
(Pour aller plus loin : https://www.cnil.fr/fr/rgpd-par-ou-commencer)
