L'essentiel pour le DPO
La CNPD écrit que la vérification des exigences de l'art. 28, par. 3, doit être SUBSTANTIELLE et non formelle, et ne peut se réduire au choix d'un quelconque jeu de clauses standard. C'est la phrase qui vaut l'amende : signer le contrat du fournisseur sans le lire n'est pas une conformité, c'est la preuve documentaire du contraire.
Les cinq manquements
- Traitement illicite de données de santé et de religion : le questionnaire n'indiquait pas clairement que ces réponses étaient facultatives, les personnes n'ont donc pas pu former une volonté éclairée.
- Manquement aux obligations d'information envers les répondants au questionnaire.
- Manquement au devoir de diligence dans le choix du sous-traitant.
- Violation des règles sur les transferts internationaux, art. 44 et 46, par. 2.
- Absence d'analyse d'impact relative à la protection des données pour l'opération de recensement.
Le point sur l'art. 28
L'INE a confié l'infrastructure à un fournisseur disposant d'un bureau à Lisbonne. Le contrat a pourtant été conclu avec la société établie aux États-Unis, et prévoyait que le tribunal compétent en cas de litige était celui de Californie. Ce même contrat admettait le transit des données personnelles par n'importe lequel des deux cents serveurs de l'entreprise, les parties anticipant expressément un traitement hors de l'Espace économique européen.
Les clauses étaient là. Elles n'ont pas suffi.
Le contrat comportait les clauses contractuelles types approuvées par la Commission pour les transferts vers les États-Unis. La CNPD a néanmoins retenu la violation des art. 44 et 46, par. 2, faute de toute mesure complémentaire empêchant l'accès aux données par les autorités gouvernementales du pays tiers, comme l'exige Schrems II. C'est exactement le raccourci que l'on voit partout : on annexe les clauses et on considère le dossier clos, sans évaluer le contexte juridique de destination.
Ce qui s'était passé avant
Pendant le recensement, après plusieurs plaintes, la CNPD avait ouvert une enquête et ordonné la suspension immédiate de l'envoi des données vers les États-Unis et d'autres pays tiers dépourvus d'un niveau de protection adéquat. La procédure ne s'est close qu'avec la délibération finale, qui a prononcé une amende unique pour les cinq manquements.
Que faire maintenant, chez vos clients
1) Pour chaque fournisseur du registre des sous-traitants, regardez avec quelle entité juridique le contrat a été signé, pas quel bureau répond au téléphone. Un bureau européen ne suffit pas si la contrepartie contractuelle est hors UE. 2) Lisez la clause attributive de juridiction : si elle renvoie à un tribunal hors UE, demandez-vous comment vous comptez faire valoir les obligations de l'art. 28 le jour venu. 3) Si le contrat admet le transit des données par des infrastructures non précisées, c'est un transfert : il doit être évalué, pas ignoré. 4) Les clauses contractuelles types sont le point de départ de l'évaluation, jamais son aboutissement : sans mesures supplémentaires documentées, l'art. 46 n'est pas satisfait. 5) Documentez la vérification de l'art. 28, par. 3, avec des preuves et une date : c'est le seul moyen de démontrer qu'elle a été substantielle.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
