Privacy by design / default

Les données à caractère personnel collectées ne doivent pas être accessibles à n’importe quelle personne. Leur accès ne peut se faire que par des personnes habilitées, sur autorisation du responsable de traitement et aux seules données nécessaires à leur fonction.

Selon l’article 5 e), les données à caractère personnel collectées doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

Conformément au principe de privacy par défaut, dès la mise en œuvre du traitement, une purge automatique des données doit être mise en œuvre. Il faut que par défaut, cette purge soit programmée au terme de la durée de conservation.

Conformément à l’article 30 du RGPD, chaque responsable de traitement est tenu de tenir un registre des traitements mis en œuvre dans son organisme. Ce registre doit détailler l’identité du responsable de traitement, les finalités du traitement, les catégories de personnes concernées, les destinataires des données, si ces données fond l’objet d’un transfert hors de l’Union européenne, les délais de conservation ainsi que les mesures de sécurité prises.

Ce registre doit être conservé au sein de la documentation de mise en conformité RGPD tenue à la disposition de la CNIL et régulièrement mis à jour.

Il participe à la preuve de la conformité du traitement à la règlementation relative au droit des données à caractère personnel.

Le DPO veille au respect et à la bonne application de la règlementation en matière de données à caractère personnel. Il s’assure dès lors que dès leur conception, les traitements de données à caractère personnel respectent les principes de protection des données, notamment de privacy by design.

Il constitue ainsi la documentation nécessaire à prouver le respect de la règlementation par l’organisme.

Il prend part aux questions portant sur le domaine. Il est l’interlocuteur privilégié des personnes concernées par les traitements de données effectués par l’organisme. Les demandes d’information et d’exercice des droits se feront directement auprès de lui. Cette documentation est tenue à la disposition de la Cnil et transmise en cas de demande. Elle est composée du registre des traitements, des analyses d’impact, des documents encadrant les transferts de données à caractère personnel, de l’information des personnes et des contrats modifiés de manière à prendre en compte la nouvelle législation.

La mise en conformité RGPD comprend également la mise en œuvre de mesures techniques et organisationnelles au sein de l’organisme afin de garantir la sécurité du traitement de données à caractère personnel effectué (article 32 du RGPD).

La sécurité physique des données à caractère personnel mais également numérique doit être assurée par le responsable de traitement. Des mesures tels que la pseudonymisation (permettant de ne plus relier directement les données collectées à une personne, sans recourir à des informations supplémentaires), de chiffrement des données, de confidentialité ou autres doivent être mises en œuvre afin d’assurer dès la conception du traitement une protection efficace des données conformément au principe de privacy by design.