Lexing Alain Bensoussan Avocats est intervenu sur de la question de l’impact du RGPD sur la DSI Direction des systèmes d’information à la Cité de l’Espace, à Toulouse, dans le cadre d’une conférence organisée par Exaprobe, le 27 septembre 2017.
Ont été évoqués successivement les problématiques liées aux nouvelles obligations en matière de sécurité et de prévention, le cadre juridique particulier des analyses d’impact et les nouvelles règles relatives à la sous-traitance (1).
L’impact du RGPD sur la DSI en matière de sécurité
Il faut rappeler que la sécurité des données fait partie intégrante de l’article 5 du RGPD qui consacre les principes généraux relatifs au droit des données personnelles.
L’article 5, f) du RGPD dispose ainsi que les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées » (intégrité et confidentialité).
Ont également été détaillées les nouvelles obligations en termes de protection d’une part (art. 25 du RGPD) et de sécurisation des données d’autre part (art. 32 du RGPD).
L’impact du RGPD sur la DSI et la nouveauté des PIA
Il a également présenté le droit nouveau des analyses d’impact, aussi connu sous le terme de PIA (art. 35 et 36 du RGPD) que les responsables de traitement devront nécessairement réaliser lorsque le traitement, en particulier par le recours à des nouvelles technologies est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes.
L’impact du RGPD sur la DSI concernant les sous-traitants
Enfin ont été détaillées les nouvelles règles du jeu relatives à la relation entre le responsable de traitement et son ou ses sous-traitant(s) (art. 24 et suivants du GRPD) et notamment :
- l’obligation, pour le responsable de traitement, de faire « uniquement appel » à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre des mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du Règlement et garantisse la protection des droits de la personne concernée ;
- les 8 règles de fond que doivent respecter tous les contrats conclus entre un responsable de traitement et ses sous-traitants ;
- les nouvelles règles relatives à la sous-traitance en cascade;
- l’obligation d’alerte spécifique des sous-traitants sur les éventuels manquements au RGPD.
Lexing Alain Bensoussan Avocats
Lexing Droit numérique
(1) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données)