Hors collection - Le droit face à la disruption numérique - 1re - 238

238

DROIT FACE À LA DISRUPTION NUMÉRIQUE

traitement de données personnelles, le RGPD étend aux sous-traitants une large partie des obligations imposées aux responsables de traitement :
- il est tenu de respecter des obligations spécifiques en matière de sécurité, de confidentialité et en
matière d'accountability ;
- il a notamment une obligation de conseil auprès du responsable de traitement pour la conformité
à certaines obligations du règlement (PIA, failles, sécurité, destruction des données, contribution
aux audits) ;
- il doit tenir un registre et doit désigner un DPO dans les mêmes conditions qu'un responsable de
traitement.
961. L'entreprise sous-traitante comme le responsable de traitement peut appliquer un code de
conduite ou un mécanisme de certification afin de démontrer l'existence de garanties suffisantes en
la matière.

Pour aller plus loin
La Cnil a publié, le 29 septembre 2017, un « Guide du sous-traitant » (v. www.cnil.fr) visant à clarifier l'incidence, pour les sous-traitants, de l'adoption du RGPD. Ceux-ci sont en effet profondément impactés par l'adoption du nouveau dispositif de protection
des données, qui les fait entrer dans le champ d'application de la nouvelle réglementation.

C. Les mesures destinées aux particuliers
962. Un renforcement des droits existants permettra notamment aux citoyens de disposer d'informations complémentaires sur le traitement de leurs données mais également de les obtenir sous une forme
claire, accessible et compréhensible.
963. Le droit à l'oubli est conforté et un nouveau droit, le droit à la portabilité, est prévu (possibilité
de récupérer des données personnelles communiquées à une plateforme et de les transmettre à une
autre). Par ailleurs, les mineurs de moins de 16 ans devront obtenir le consentement de leurs parents
avant de s'inscrire à un service en ligne.
964. L'approche privacy by design consacré par le RGPD est un véritable outil de protection des
données définie à l'article 25. Elle consiste pour une entreprise à développer des produits et des
services en prenant en compte, dès leur conception et tout au long de leur cycle de vie, les aspects
liés à la protection de la vie privée et des données à caractère personnel. En pratique, le privacy by
design consiste pour le responsable de traitement à appliquer des mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel nécessaires à
la finalité du traitement seront traitées.
965. La pseudonymisation des données est par exemple une mesure technique et organisationnelle à
laquelle les entreprises peuvent recourir. Elle permet de ne plus pouvoir associer des données à une
personne physique précise sans avoir recours à des informations supplémentaires. La minimisation
des données, qui consiste à ne traiter que des données adéquates, pertinentes et limitées à la finalité
du traitement, constitue également une mesure qui peut être appliquée au titre de l'approche privacy
by design.
966. Les personnes physiques ont le droit de recevoir les données à caractère personnel les concernant, données qu'elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine ; elles ont le droit de transmettre ces données à un autre responsable
du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été

http://www.cnil.fr

Table des matières de la publication Hors collection - Le droit face à la disruption numérique - 1re