Qu'est-ce qu'un registre de traitement et comment le mettre en place de manière sécurisée ?

Depuis le 25 mai 2018, le règlement général sur la protection des données est entré en vigueur. L'une des différences par rapport à la loi précédente concerne le traitement des données à caractère personnel et la protection de la vie privée qu'il implique. Par conséquent, le traitement des données personnelles peut représenter un défi pour les entreprises. Un registre des traitements permet aux organisations de savoir quelles données personnelles sont traitées. En outre, un registre de traitement indique également pourquoi ces données personnelles sont traitées, où elles sont traitées et si un accord de traitement est en place.

Lorsque l'autorité chargée des données à caractère personnel procède à une inspection, vous devez toujours être en mesure de vous justifier en tant qu'organisation. Le traitement incorrect de données à caractère personnel peut être considéré comme une violation de la vie privée de la personne à laquelle les données appartiennent. L'utilisation d'un registre de traitement bien tenu permet d'éviter le traitement incorrect de données à caractère personnel et, par conséquent, d'éventuelles amendes.

Le registre de traitement

Il doit toujours y avoir un motif légitime pour traiter les données à caractère personnel dans un registre de traitement. Les données à caractère personnel ne peuvent être traitées que si la personne concernée a donné son propre consentement. En outre, au moins l'une des bases suivantes doit être en vigueur pour pouvoir traiter les données à caractère personnel.

Le traitement des données est nécessaire pour...

• Pour se conformer aux règles relatives au traitement obligatoire des données à caractère personnel ;
• Considérez le traitement des données à caractère personnel par l'administration fiscale.
• Exécuter un accord ;
• Protéger les intérêts vitaux ;
• Effectuer une tâche d'intérêt public ou d'autorité publique ;
• Poursuivre des intérêts légitimes.

Que contient un registre de traitement ?

Si vous êtes un responsable du traitement de données à caractère personnel, vous devez, en vertu de la législation AVG, inclure les informations suivantes dans votre registre :

1. Nom et coordonnées
   1. De votre organisation, ou du représentant de votre organisation ;
   2. D'autres organisations avec lesquelles vous avez établi des objectifs communs ou avec lesquelles vous traitez conjointement des données ;
   3. Par le délégué à la protection des données désigné au sein de votre organisation ;
   4. Des organisations internationales avec lesquelles vous partagez des données à caractère personnel.
2. Objectifs
   1. La raison pour laquelle vous traitez des données à caractère personnel doit toujours être claire. Il peut s'agir de recrutement et de sélection, mais aussi de livraison de produits ou d'activités de marketing.
3. Parties impliquées
   1. Citez les catégories de personnes dont les données sont traitées. Il peut s'agir de clients, de patients ou de consommateurs. Mais pensez aussi aux employés externes embauchés.
4. Informations personnelles
   1. Indiquez le type de données à caractère personnel que vous traitez. Par exemple, les numéros de sécurité sociale, le nom et l'adresse, les numéros de téléphone et les adresses électroniques, le matériel visuel (photos, vidéos) et/ou les adresses IP.
5. Périodes de rétention
   1. Le moment où vous supprimez les données doit être clair
6. Récepteurs
   1. À qui fournissez-vous des données à caractère personnel ? Répartissez également ces destinataires en catégories.
7. En dehors de l'UE
   1. Si vous partagez des données à caractère personnel avec des pays ou des organisations internationales situés en dehors de l'UE, il convient également de le préciser. Il est important de garder cela à l'esprit car, en dehors de l'UE, des lois différentes s'appliquent et traitent les données à caractère personnel différemment.
8. Sécurité
   1. Citez les moyens par lesquels votre organisation s'assure que les données à caractère personnel que vous traitez sont traitées en toute sécurité. Il peut s'agir de mesures techniques ou organisationnelles.

Votre organisation est-elle un sous-traitant d'informations parce que vous travaillez avec des données à caractère personnel pour le compte d'autres personnes ? Dans ce cas, il vous suffit d'indiquer le nom et les coordonnées, les opérations de traitement, les transferts internationaux, les pays tiers et la sécurité dans votre registre des traitements.

La commodité et l'avantage de travailler avec un logiciel spécialisé

Parce qu'il est important de traiter avec précision toutes les informations stockées, il est judicieux de travailler avec un logiciel spécialisé dans le stockage sécurisé des documents. Après tout, vous ne devriez pas penser que toutes vos données personnelles sensibles se retrouvent accidentellement dans la rue à la suite d'une violation de données, n'est-ce pas ?

Cela signifie que le logiciel avec lequel vous travaillez devrait vous aider à prévenir les violations de données, par exemple grâce au cryptage des documents.

En outre, le logiciel lui-même doit également être conforme à la législation AVG. Cela signifie qu'il est important, par exemple, que les données personnelles ne soient pas envoyées à des serveurs situés aux États-Unis. Les lois sur la protection de la vie privée y sont très différentes de celles de l'UE, ce qui signifie que les logiciels qui envoient ces données ne sont pas conformes à la législation AVG.

Il est également très utile d'appliquer une gestion correcte des documents. Après tout, au moment où l'Autorité des données personnelles frappe à votre porte pour obtenir un texte et une explication, vous voulez être en mesure de produire rapidement et sans aucun doute la version la plus précise et la plus récente des documents. Vous gagnerez ainsi du temps, vous vous épargnerez des soucis et vous éviterez le risque d'amendes.