Quel registre des activités de traitement le RGPD nous impose-t-il de tenir ?

Les responsables du traitement et les sous-traitants doivent tenir un registre écrit, éventuellement électronique, de leurs activités de traitement et le mettre à disposition de l’autorité de contrôle sur demande. Pour un responsable, chaque entrée décrit les finalités, les catégories de personnes et de données personnelles, les destinataires, les éventuels transferts hors de l’UE avec leurs garanties, si possible les délais d’effacement prévus et une description générale des mesures de sécurité. Les sous-traitants tiennent un registre plus court des traitements qu’ils effectuent pour chaque responsable. Les organisations plus petites, sous un seuil d’effectif fixé par le RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679)., sont dispensées dans certains cas, mais pas lorsque le traitement n’est pas occasionnel, ce qui vaut pour presque toute surveillance réseau continue, ni lorsqu’il est susceptible de comporter un risque ou porte sur des catégories particulières de données. Inscrivez donc la surveillance de sécurité comme une activité de traitement à part entière : finalité, données collectées, qui y accède, l’éditeur comme sous-traitant, lieu et durée de conservation. L’accord de traitement des données de NetSenX et sa liste de sous-traitants ultérieurs vous donnent les informations sur l’éditeur pour cette entrée ; le registre lui-même reste à tenir par vous.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 20 questions sur Droit de l’UE : RGPD, DORA, CRA et AI ActTous les thèmes