Comprendre le principe d’accountability
En matière de RGPD, vous entendez souvent parler du principe d’accountability. Ce terme peut paraître complexe, c’est une notion qui semble plutôt vague… L’accountability se traduit littéralement en français par la responsabilité, autrement dit c’est le fait de rendre des comptes.
D’après le RGPD, le principe d’accountability oblige les acteurs du traitement de données :
À mettre en œuvre toutes les mesures nécessaires pour assurer leur conformité,
Et démontrer que ces mesures sont effectives.
Pour cela, il faut conserver et mettre à jour toute sa documentation. Elle constitue les preuves des efforts engagés pour assurer la conformité.
Ce principe modifie la logique de contrôle a priori qui existait en France sous la Loi informatique et libertés (antérieure au RGPD). Selon cette logique, les entreprises devaient déclarer leurs traitements au préalable et l’autorité de contrôle les valide avant qu’ils soient mis en œuvre (il existait un système de dispenses pour les traitements les plus courants). Désormais, les démarches d’autorisations préalables ont quasiment disparu pour faire place à un système de contrôle a posteriori. Le RGPD laisse au Responsable de traitements une grande liberté dans la manière de mettre en œuvre sa conformité. En contrepartie, il doit être en capacité, notamment en cas de contrôle, de justifier et de démontrer la pertinence et l’efficacité de ses choix.
Quelles sont les mesures à mettre en œuvre pour respecter le principe d'accountability ?
La conformité au RGPD nécessite que des mesures soient adoptées et respectées au sein des entreprises. Ces mesures doivent être proportionnées :
À la réalité de votre entreprise (sa taille, les moyens humains et financiers dont vous disposez, votre niveau de maturité, etc.),
Ainsi qu’aux risques que représentent le traitement de données vis-à-vis des droits et libertés des personnes.
Comme expliqué précédemment, l’accountability suppose non seulement que ces mesures soient adoptées mais aussi que leur mise en application soit documentée et effective.
L'accountability implique également que les entreprises doivent être transparentes quant à la manière dont elles collectent, utilisent et partagent les données personnelles, ainsi que les mesures qu'elles ont mises en place pour protéger ces données. Cela comprend la communication aux individus concernés de la manière dont leurs données sont utilisées et la garantie qu'ils disposent des moyens pour exercer leurs droits en matière de protection des données, tels que le droit d'accès, le droit de rectification et le droit d'opposition.
Un exemple de sanction fondée en partie sur le non-respect du principe d’accountability
Le 2 mai 2021 Datatilsynet (l’équivalent de la CNIL en Norvège) a prononcé une amende préliminaire de 2,5 millions d’euros à la société américaine Disqus Inc. L’autorité de contrôle norvégienne s’est fondée sur les manquements suivants : non-respect du principe d’accountability, de licéité des traitements et de transparence.
Disqus est un plug-in utilisé par plusieurs journaux en ligne norvégiens. Il permet aux lecteurs de laisser des commentaires publics sous les articles publiés et fournit des outils de modération pour les éditeurs en ligne. La société utilise des cookies pour tracer les utilisateurs naviguant sur les sites concernés et revend ces données à des partenaires publicitaires ainsi qu’à sa société mère. L’autorité de contrôle conclu que Disqus opère un traitement illégal de suivi des utilisateurs et de profilage à des fins publicitaire. D’autre part les utilisateurs des sites internet ne sont pas informés de ce traitement de données.
La société mise en cause s’est défendue en mentionnant qu’elle ignore que le RGPD s’applicable en Norvège et pour ses activités. Après avoir statué sur l’application territoriale et matérielle du RGPD, Datatilsynet relève que les entreprises doivent avant tout considérer l’applicabilité du Règlement à leurs traitements. Elle conclut que l’obligation générale d’accountability n’a pas été respectée par Disqus qui n’a pas documenter son processus de réflexion en la matière.
Comment faire concrètement ?
Mission RGPD vous permet de garantir le principe d’accountability en maintenant une traçabilité et un historique dans le temps de l’ensemble des processus de conformité RGPD. Vous concentrez à un seul endroit tout ce dont vous avez besoin. Vous pouvez déposer en pièce joint tous les documents justificatifs nécessaires, utilisez nos modèles et notre espace documentaire pour constituer votre propre documentation à partager à vos collaborateur.
Soyez ainsi certain de toujours avoir à disposition les documents nécessaires pour prouver votre conformité.
Avec Mission RGPD, vous pourrez vous mettre en conformité simplement et la gérer en toute sérénité. La sécurité de vos traitements ne sera plus un problème