Règlement général sur la protection des données, Règlement (UE) 2016/679
Le règlement impose un registre à jour, une sécurité adaptée au risque et une notification sous 72 heures. Presidio GRC charge ses 35 exigences, rattache vos preuves et suit vos délais.
Exigences chargées
35
Domaines
9
Ce que le texte demande
Le responsable du traitement tient un registre de toutes les activités effectuées sous sa responsabilité, avec les finalités, les catégories de données et les destinataires.
Source : Règlement (UE) 2016/679, art. 30
Pseudonymisation, chiffrement, confidentialité, intégrité, disponibilité et résilience. Les mesures doivent être adaptées au risque, et régulièrement testées.
Source : Règlement (UE) 2016/679, art. 32
La notification part à l’autorité de contrôle compétente dans les 72 heures suivant la prise de connaissance de la violation, et les personnes concernées sont informées quand le risque est élevé.
Source : Règlement (UE) 2016/679, art. 33 et 34
Dans le corpus
Dix des 35 exigences chargées, avec leur référence et leur domaine. Chacune reçoit un responsable, une échéance et ses preuves.
| Référence | Exigence | Domaine |
|---|---|---|
| art. 5(1)(c) | Minimisation des données | Principes et licéité |
| art. 6 | Licéité du traitement | Principes et licéité |
| art. 13 et 14 | Information des personnes concernées | Registre des traitements |
| art. 15 | Droit d’accès | Droits des personnes |
| art. 17 | Droit à l’effacement (droit à l’oubli) | Droits des personnes |
| art. 28(3) | Contrat de sous-traitance (DPA) | Sous-traitants |
| art. 30 | Registre des activités de traitement | Registre des traitements |
| art. 32 | Sécurité du traitement | Sécurité des données |
| art. 33 | Notification d’une violation à l’autorité de contrôle | Violations de données |
| art. 35 | Réalisation d’analyses d’impact (DPIA) | Analyses d’impact |
35 exigences au total, réparties sur neuf domaines, des principes de licéité aux transferts internationaux.
Questions
Les finalités du traitement, les catégories de données et les destinataires, pour toutes les activités effectuées sous votre responsabilité (Règlement (UE) 2016/679, art. 30). Un registre distinct est prévu pour l’activité de sous-traitant (art. 30(2)).
Soixante-douze heures après en avoir pris connaissance, auprès de l’autorité de contrôle compétente (Règlement (UE) 2016/679, art. 33). Les violations doivent par ailleurs être documentées, y compris celles qui ne sont pas notifiées (art. 33(5)).
Lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques (Règlement (UE) 2016/679, art. 35). Une consultation préalable de l’autorité de contrôle est prévue quand le risque résiduel reste élevé (art. 36).
Oui, quand l’incident touche des données personnelles et un service couvert par la directive. Le corpus rapproche l’article 33 du règlement de l’article 23 de la directive, mais les destinataires diffèrent : l’autorité de contrôle d’un côté, le CSIRT de l’autre.
Trente minutes, sur vos écrans, avec vos questions. Ou l’essai complet, sans carte bancaire.
