La protection des données fait aujourd’hui partie des priorités des entreprises établies sur le territoire européen et qui en effectuent le traitement. Vu l’importance de cette mission, elle ne peut être confiée qu’à une personne habilitée à la mener à bien. Mais qui ? La réponse dans cet article.
Protection des données : à qui revient cette mission dans une entreprise ?
D’ordinaire, c’est au représentant légal de la société (chef d’entreprise, président, gérant, etc.) d’assurer la protection des données collectées. Informatisées ou non, celles-ci peuvent appartenir aux clients, fournisseurs, prestataires, employés de l’entreprise… ou encore aux candidats à l’embauche. En tant que données privées, elles doivent faire l’objet d’un traitement minutieux qui respecte les obligations en matière de protection de données personnelles. C’est là qu’intervient le plus souvent le DPO externalisé.
En effet, dans le but d’accomplir sa mission, l’initiateur ou le responsable du traitement de données sollicite parfois un sous-traitant. Le cas échéant, celui-ci se charge de traiter les données pour le compte de son mandataire. Le prestataire peut être un service de :
- maintenance informatique ;
- envoi de messages de prospection commerciale ;
- hébergement de données, etc.
Qu’il décide de s’occuper lui-même de la protection des données personnelles ou de déléguer cette tâche, le représentant légal de la société doit s’assurer de la conformité du traitement avec la RGPD (Règlement général sur la protection des données).
Faut-il informer les personnes concernées de la collecte de leurs données personnelles ?
Le responsable du traitement au sein de l’entreprise a le devoir d’informer les personnes dont les données sont traitées. En effet, il doit le faire en cas de collecte directe (via un formulaire, etc.), mais aussi indirecte (données récupérées auprès de partenaires commerciaux, data brokers…).
En effet, la personne concernée par la collecte doit en être informée soit :
- au moment de la collecte, s’il s’agit d’une collecte directe ;
- dans un délai raisonnable qui ne doit surtout pas excéder 30 jours après l’obtention des données, en cas de collecte indirecte.
Quelles sont les informations à fournir ?
Le représentant légal de l’entreprise doit transmettre un certain nombre d’informations à toute personne dont les données personnelles sont collectées. Il s’agit entre autres de :
- l’identité et les coordonnées de la personne en charge du traitement des données au sein de l’entreprise collectrice ;
- coordonnées du DPO (Délégué à la protection des données), en cas de sous-traitance ;
- l’objectif du traitement, c’est-à-dire ce à quoi les données personnelles collectées doivent servir ;
- la base légale qui justifie ce traitement. Il peut s’agir de l’exécution d’un contrat, du consentement de la personne concernée… ou du respect d’une norme prévue par un texte de loi ;
- caractère obligatoire ou facultatif de la fourniture des données personnelles. Ici, on doit évoquer les conséquences que la non-fourniture des données peut engendrer ;
- destinataires des données récupérées. Il faut préciser à ce niveau les personnes ou services qui auront accès à ces données (prestataire, service interne compétent…) ;
- la durée de conservation des données personnelles;
Quelles que soient les informations fournies, elles doivent parvenir aux personnes concernées par la collecte de façon transparente, compréhensible, concise et être facilement accessibles. De même, les informations doivent être délivrées en des termes clairs et simples. Ceci, pour ne pas s’estomper dans d’autres contenus informatifs.
Rédacteur web depuis de nombreuses années, je suis avant tout un passionné du monde de l’entreprenariat. Je dispose de bonnes connaissances SEO, et mets mes compétences rédactionnelles au service de sujets B2B d’actualité et pertinents.
