Accountability / responsabilité

Le principe d’accountability, ou principe de responsabilité, est l’un des principaux principes relatifs au traitement de données à caractère personnel.

Ce principe, déjà indirectement consacré par la directive 95/46/CE, est aujourd’hui expressément prévu par le RGPD.

Il impose aux responsables du traitement et aux sous-traitants de s’assurer du respect de l’ensemble des principes relatifs au traitement des données à caractère personnel, notamment en mettant en œuvre les mesures techniques et organisationnelles les plus appropriées et les plus adaptées à chaque traitement.

Les acteurs peuvent adopter un corpus de politiques relatives à la protection des données et à la sécurité informatique (politique de confidentialité, charte informatique, etc.), mais également former et sensibiliser leurs collaborateurs amenés à manipuler des données à caractère personnel.

Le principe d’accountability impose également aux acteurs du traitement d’être en mesure de démontrer le respect de l’ensemble des principes relatifs au traitement des données à caractère personnel, ce qui est essentiel en cas de contrôle d’une autorité de contrôle, notamment en disposant d’une documentation adéquate et à jour relative aux traitements réalisés (registre des activités de traitement, registre des violations, analyse d’impact relative à la protection des données, plan d’assurance sécurité, consultations préalables, etc.).

Assumer pleinement la responsabilité des traitements constitue souvent un avantage concurrentiel : l’accountability est l’occasion de montrer au public que le respect de sa vie privée est une priorité, et ainsi de développer ou d’entretenir une relation de confiance.

Pour maintenir l’accountability dans la durée et développer ainsi une culture de la protection des données, des mécanismes internes ou des changements organisationnels peuvent être nécessaires.

La désignation d’un Délégué à la Protection des Données, obligatoire dans certaines hypothèses, peut également s’inscrire dans cette logique.

L’adhésion à un code de conduite ou l’obtention d’une certification peuvent démontrer le respect du principe d’accountability, mais ne réduiront en aucun cas la responsabilité du responsable du traitement ou des sous-traitants, qui doivent toujours être en mesure de démontrer à tout moment qu’ils respectent les principes relatifs au traitement des données à caractère personnel.

Le non-respect du principe d’accountability, ou l’impossibilité d’en démontrer le respect, peut donner lieu à des sanctions très lourdes prononcées par les autorités de contrôle.

Point RGPD

« Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »

Article 5.2 du RGPD

« Il y a lieu d’instaurer la responsabilité du responsable du traitement pour tout traitement de données à caractère personnel qu’il effectue lui-même ou qui est réalisé pour son compte. Il importe, en particulier, que le responsable du traitement soit tenu de mettre en œuvre des mesures appropriées et effectives et soit à même de démontrer la conformité des activités de traitement avec le présent règlement, y compris l’efficacité des mesures. »

Considérant 74 du RGPD

Point jurisprudence

L’autorité de contrôle italienne a infligé à la société Wind une amende de 16 729 600 euros pour « ne pas avoir démontré la conformité des opérations de traitement réalisées ni la suppression des mesures adoptées, comme l’exige l’article 5, paragraphe 2, du Règlement »

Garante per la protezione dei dati personali, 9 juillet 2020, n°9435753

Le Cabinet Bouchara vous accompagne notamment dans :

La mise en conformité de votre organisme au RGPD ;
La rédaction de politiques de protection des données (politique de confidentialité, charte informatique…) ;
La documentation de vos traitements (registre des activités de traitement, registre des violations, analyse d’impact relative à la vie privée, consultation préalable…) ;
L’obtention de certifications et l’adhésion à des codes de conduite ;
L’étude de la faisabilité juridique de la mise en œuvre d’un nouveau traitement de données à caractère personnel ;
La rédaction et transmission de vos codes de conduites à la CNIL pour approbation ;
L’analyse juridique de la conformité de vos traitements de données, y compris des transferts de données hors de l’Espace Economique Européen ;
La rédaction et la négociation de vos accords de traitements de données (DPA) ;
La rédaction de vos règles d’entreprises contraignantes (BCR) et codes de conduites ;
La formation et la sensibilisation de vos collaborateurs.