Get exclusive insights on privacy laws, compliance strategies, and product updates delivered to your inbox
Garantissez la conformité au RGPD en créant et en tenant à jour des registres des activités de traitement (RoPA). Découvrez qui a besoin d'un registre des activités de traitement, les exigences, ce qu'il doit contenir et comment le tenir à jour. Découvrez un guide pratique avec un modèle de RoPA téléchargeable.
Votre entreprise doit créer et tenir à jour des registres des activités de traitement pour se conformer au règlement général sur la protection des données (RGPD) de l'UE. Si vous ne tenez pas ces registres, vous enfreignez la loi.
De nombreux exploitants de sites web et propriétaires d'entreprises, en général, pensent qu'il suffit d'avoir une politique de confidentialité et une bannière de cookies pour être en conformité avec le RGPD. Ce n'est pas le cas.
Mais ne vous inquiétez pas, la création d'un RoPA n'est pas sorcier. Si vous connaissez vos flux de données, vous en créerez un et le maintiendrez à jour sans trop d'efforts.
Dans cet article, nous allons entrer dans les détails des RoPA et vous expliquer comment en créer un pour votre entreprise.
Vous apprendrez:
Le considérant 82 du RGPD stipule : "Afin de démontrer le respect du présent règlement, le responsable du traitement ou le sous-traitant doit tenir des registres des activités de traitement relevant de sa responsabilité. Chaque responsable du traitement et chaque sous-traitant devraient être tenus de coopérer avec l'autorité de contrôle et de mettre ces registres à sa disposition, sur demande, afin qu'ils puissent servir à contrôler ces opérations de traitement".
Cela signifie clairement que la LPRP est nécessaire lorsque les autorités chargées de la protection des données frappent à votre porte et demandent vos registres des activités de traitement pour se faire une idée de ce qui se passe avec les données à caractère personnel au sein de votre organisation.
En attendant, le ROPA doit être tenu à jour dans vos dossiers.
Conformément à l'article 30 du RGPD, un ROPA est obligatoire pour tout responsable du traitement ou sous-traitant de données qui compte plus de 250 employés. Les entreprises comptant moins de 250 employés doivent tenir à jour un RoPA si elles traitent des données personnelles sensibles (catégories spéciales de données) ou des données relatives à des condamnations pénales.
Pour toutes les autres, l'existence d'un tel registre est une bonne pratique.
La carte des données n'est pas un document officiel requis par le RGPD. Elle ne fait pas partie de la mise en conformité des entreprises avec le RGPD. Il s'agit d'un outil permettant de cartographier les flux de données et d'éclairer les décisions relatives à la confidentialité des données au sein de l'entreprise.
En revanche, certains responsables du traitement des données et sous-traitants exigent le ROPA, qu'une autorité de contrôle peut également demander.
Le ROPA contribue au respect de la protection des données en garantissant que l'organe de contrôle dispose d'un dossier s'il vérifie les pratiques d'une entreprise en matière de protection de la vie privée. En outre, il permet de mettre sur papier, de manière claire et concise, les flux de données au sein de l'entreprise.
D'une part, cela apporte une plus grande clarté à l'entreprise. D'autre part, il aide l'entreprise à rendre des comptes.
Le RGPD prescrit qui a besoin d'un ROPA, ce qu'il doit contenir et qui est exempté de l'obligation d'en tenir un.
L'article 30 prévoit des exigences légèrement différentes pour les responsables du traitement des données et les sous-traitants.
Les responsables du traitement doivent inclure:
Le ROPA du responsable du traitement des données doit inclure:
Il n'y a pas de format spécifique dans lequel ces informations doivent être conservées. Vous êtes libre de les créer de la manière qui convient à votre entreprise, pour autant qu'elle atteigne son objectif.
Toutefois, vous devez veiller à ce que les informations qu'il contient soient détaillées.
Voici à quoi elles ne doivent pas ressembler:
Finalité du traitement analyse, marketing Catégories de personnes concernées visiteurs du site web, abonnés au courrier électronique Tiers : destinataires des données Google, Meta, Bytedance et Mailchimp Transferts internationaux de données États-Unis
Le tableau ci-dessus est erroné. Vous devriez plutôt procéder de la manière suivante:
Catégorie de données Finalité du traitement Tiers: destinataires Transferts internationaux de données Adresse électronique marketing Mailchimp États-Unis Adresse IP analytique Google États-Unis Détails de l'appareil analytique Google États-Unis Détails de l'appareil (le champ doit être fusionné avec celui ci-dessus) marketing Google, Meta, et Bytedance États-Unis.
Le tableau ci-dessus n'est pas complet non plus, car il n'y a pas assez d'espace sur cette page web pour inclure toutes les informations, mais vous avez une idée du niveau de détail nécessaire pour un ROPA conforme au RGPD.
Le ROPA n'a pas besoin d'être publié sur votre site web. Il s'agit d'un document interne qui ne doit être accessible qu'à vous et aux autorités chargées de la protection des données, au cas où elles en feraient la demande.
Votre politique de confidentialité (avis de confidentialité) est le document qui sert à informer vos utilisateurs de la manière dont vous traitez les données à caractère personnel. C'est le seul document destiné aux personnes concernées qui doit figurer sur votre site web. La LPRP n'a pas besoin d'y figurer.
Il y a quelques étapes à suivre pour créer et tenir à jour un ROPA:
Le RoPA doit refléter à tout moment les activités actuelles de traitement des données à caractère personnel.
Si votre entreprise commence à collecter des numéros de téléphone à partir du lundi suivant, les registres doivent contenir des informations sur le traitement des numéros de téléphone à partir du lundi suivant.
Si vous avez décidé de supprimer les courriels des abonnés qui ne répondent pas au bout de six mois au lieu d'un an à partir du mercredi suivant, vous devez modifier les périodes de conservation des données. Si vous êtes passé de Mailchimp à Brevo, assurez-vous de faire les mises à jour nécessaires.
La ROPA informe sur ce qui se passe en ce moment même avec vos pratiques de traitement des données. Il doit changer au fur et à mesure que celles-ci évoluent.
C'est pourquoi vous devez vous assurer d'obtenir des informations sur tous les changements dès qu'ils se produisent dans votre organisation. C'est la seule façon de garder vos dossiers à jour et de vous conformer au RGPD.
Vous trouverez sur ce lien les modèles de l'ICO du Royaume-Uni, ainsi que de plus amples détails sur la manière de créer un ROPA.
Là encore, il n'y a pas de format prescrit. N'hésitez pas à adapter le modèle à votre entreprise.
Explore more privacy compliance insights and best practices
