Délégué à la protection des données TPE et Start-up

Informer et conseiller sur les obligations Informatique et libertés

1. L’une des missions du Délégué à la protection des données consiste à informer le responsable de traitement sur les obligations qui lui incombe en vertu de la loi Informatique et libertés n° 78-17 du 6 janvier 1978 modifiée et du règlement (UE) 2016/679 applicable depuis le 25 mai 2018.

2. En tant que Délégué à la protection des données externalisé le cabinet Lexing Alain Bensoussan Avocats réalisera les prestations suivantes :

• formation et sensibilisation des membres de l’entreprise ;
• élaboration de procédure de remontée d’informations ;
• tenue d’un comité de pilotage.

Contrôler le respect des dispositions et des règles internes du responsable du traitement

3. Afin de contrôler le respect des dispositions du RGPD et des règles internes du responsable du traitement, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation des membres de l’entreprise participant aux opérations de traitement, et les audits s’y rapportant, il sera procédé à :

• – l’élaboration d’un plan de contrôle annuel ;
• – la réalisation d’audits.

Dispenser des conseils en ce qui concerne l’analyse d’impact

4. Lorsqu’un traitement envisagé est un traitement à risque, il appartient au responsable du traitement de conduire une étude d’impact, faisant apparaître les caractéristiques du traitement, les risques qu’il présente pour les droits et libertés des personnes concernées et les mesures adoptées. Une seule et même analyse peut porter sur un ensemble d’opérations de traitement similaires qui présentent des risques élevés analogues.

5. Il s’agit notamment :

• des traitements de données sensibles : données qui révèlent l’origine raciale ou ethnique, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale, les données concernant la santé ou l’orientation sexuelle, mais également les données génétiques ou biométriques ;
• des traitements reposant sur « l’évaluation systématique et approfondie d’aspects personnels des personnes physiques », c’est-à-dire notamment de profilage.

6. En cas de risque élevé, le responsable du traitement doit consulter la Cnil avant de mettre en œuvre le traitement en cause. La Cnil peut s’opposer au traitement compte tenu de ses caractéristiques et de ses conséquences pour les personnes.

7. En tant que Délégué à la protection des données externalisé le cabinet Lexing Alain Bensoussan Avocats dispensera des conseils, sur demande, en ce qui concerne l’analyse d’impact relative à la protection des données, et vérifier son exécution.

Coopération avec la Cnil

8. En tant que Délégué à la protection des données externalisé le cabinet Lexing Alain Bensoussan Avocats coopérera avec la Cnil et fera office de point de contact pour l’autorité de contrôle pour toutes les questions relatives aux traitements mis en œuvre par l’entreprise, et notamment dans le cadre de la consultation préalable prévue par l’article 36 du RGPD.

Tenue du registre des traitements

9. Le responsable de traitement doit tenir son registre des activités de traitement parfaitement à jour, ce qui suppose de sa part une intervention de mise à jour chaque fois qu’il met en œuvre un nouveau traitement ou en cas d’arrêt du traitement.

10. Le Responsable de traitement pourra s’il le souhaite confier cette prestation complémentaire de tenue du registre au cabinet Lexing Alain Bensoussan Avocats.

Revue des contrats et mentions d’information

11. Mentions obligatoires. Le RGPD rappelle que les données doivent être traitées de manière loyale et transparente au regard de la personne concernée.

12. En ce qui concerne le contenu de l’information, le RGPD exige que certaines informations énumérées aux articles 13 et 14 du RGPD soient communiquées aux personnes dont les données sont collectées.

13. Contrats. L’article 28 du RGPD maintient l’obligation de souscrire un contrat liant le sous-traitant au responsable du traitement, tout en précisant ses contours et en fixant des exigences strictes et plus importantes.

14. Cette prestation complémentaire peut prendre différentes formes en fonction des besoins du responsable de traitement. Il peut s’agir par exemple de recenser des documents de collecte, d’information et des contrats signés avec les sous-traitants et d’analyser leur conformité avec la réglementation, ou de proposer des contrats types et des mentions d’information dans les documents à destination des usagers.

Assistance à la notification d’une violation de données

15. L’obligation de notification de violations de données à caractère personnel à la Cnil pèse sur le responsable du traitement, qui doit signaler les failles de sécurité dans les meilleurs délais et si possible dans un délai de 72 heures au plus tard après en avoir pris connaissance.

16. Le responsable de traitement pourra confier au cabinet Lexing Alain Bensoussan Avocats la prestation complémentaire de notification des violations de données à caractère personnel.

17. Dans ce cadre le cabinet Lexing Alain Bensoussan Avocats sera le point de contact de la Cnil pour la transmission d’information.

18. Il assistera le responsable de traitement dans la rédaction de la notification de la violation des données personnelles à la Cnil et se chargera de la procédure de notification.

19. Le cabinet Lexing Alain Bensoussan Avocats effectuera, le cas échéant, en coopération avec la Cnil, dans les meilleurs délais, la communication aux personnes concernées, pour lesquelles la violation de données est susceptible d’engendrer un risque élevé pour leurs droits et libertés, tel que prévu par l’article 34 du RGPD.

Assistance à la réalisation d’une analyse d’impact

20. En complément des conseils dispensés dans le cadre de sa mission de Délégué à la protection des données externalisé, le cabinet Lexing Alain Bensoussan Avocats pourra être missionné pour réaliser une analyse d’impact chaque fois que nécessaire.

21. Enfin, une fois l’analyse d’impact réalisée, le cabinet Lexing Alain Bensoussan Avocats en assumera le suivi, afin de s’assurer que les risques n’ont pas évolué.

Assistance à la réalisation d’une consultation préalable de la Cnil

22. Dans l’hypothèse où une analyse d’impact révèle qu’il existe un risque résiduel élevé, le responsable du traitement est tenu de procéder à une consultation préalable de l’autorité de contrôle en application des dispositions de l’article 36 du RGPD.

23. Dans une telle hypothèse, le cabinet Lexing Alain Bensoussan Avocats pourra assister le responsable de traitement pour l’élaboration du dossier de consultation préalable et pour assurer le suivi de cette démarche.

24. Le cabinet Lexing Alain Bensoussan Avocats assistera également le responsable de traitement dans la réponse à toute requête de l’autorité de contrôle dans le cadre de cette consultation.

Assistance lors d’un contrôle de la Cnil

25. En cas de contrôle sur place, sur pièces ou à distance de la Cnil, le cabinet Lexing Alain Bensoussan Avocats sera en mesure de réaliser différentes prestations suivantes allant du simple conseil lors des contrôles jusqu’à l’exercice des procédures et voies de recours.

Assistance sur toute question relative à la protection des données personnelles

En complément de sa mission de Délégué à la protection des données, le cabinet pourra être amené, sur demande, à assister et à délivrer des consultations sur tout autre sujet en rapport avec la protection des données à caractère personnel. Ce type de mission se fera dans le cadre d’une proposition d’intervention arrêtée en concertation avec le cabinet concerné.

Réalisation d’une cartographie légale

Pour accompagner au mieux chaque entreprise dans sa mise en conformité au RGPD, le cabinet propose de réaliser une cartographie juridique en vue de :

• • identifier les écarts de conformité entre l’existant et les exigences du RGPD tant sur le plan juridique qu’organisationnel ;
• • informer et conseiller le responsable de traitement sur les actions de mise en conformité à mettre en œuvre.