Regulation (EU) 2016/679 (GDPR)
Liste de contrôle de conformité au RGPD
Points de contrôle pratiques sur les obligations essentielles du règlement (UE) 2016/679 pour les responsables du traitement et les sous-traitants. Elle permet d'identifier les lacunes avant un audit, une revue client ou une demande de l'autorité de contrôle.
1. Principes et licéité
Vérifier chaque traitement au regard de la licéité, de la loyauté et de la transparence, de la limitation des finalités, de la minimisation des données, de l'exactitude, de la limitation de la conservation, ainsi que de l'intégrité et de la confidentialité.
Art. 5(1)Fixer des durées de conservation par catégorie de données et supprimer ou anonymiser les données une fois la finalité atteinte.
Documenter les politiques et les mesures techniques et organisationnelles afin de pouvoir démontrer la conformité.
Art. 5(2), Art. 24La charge de la preuve incombe au responsable du traitement. Conserver politiques, décisions et revues sous une forme transmissible à une autorité.
Déterminer et consigner une base juridique au titre de l'article 6, paragraphe 1, pour chaque finalité.
Art. 6En cas d'intérêt légitime, documenter la mise en balance avec les intérêts et droits de la personne concernée.
Si le consentement est la base, le rendre libre, spécifique, éclairé, univoque, prouvable et aussi simple à retirer qu'à donner.
Art. 4(11), Art. 7Conserver qui a consenti, quand, sur quel texte et par quel moyen. Les cases cochées par défaut ne valent pas consentement (considérant 32).
Pour les services de la société de l'information proposés directement aux enfants, vérifier l'autorisation parentale sous le seuil d'âge national applicable.
Art. 8L'âge par défaut est de 16 ans, les États membres pouvant l'abaisser jusqu'à 13 ans. Faire des efforts raisonnables pour vérifier l'autorisation.
Identifier les catégories particulières de données (santé, biométrie, religion, etc.) et consigner la condition de l'article 9, paragraphe 2, invoquée.
Art. 9Le traitement de ces catégories est interdit sauf exception, en plus d'une base juridique au titre de l'article 6.
2. Transparence et droits des personnes concernées
Publier une politique de confidentialité concise et claire contenant toutes les informations exigées par les articles 13 et 14.
Art. 12-14Indiquer l'identité du responsable, les finalités, les bases juridiques, les destinataires, les transferts, la conservation et les droits. Pour les données collectées auprès de tiers, appliquer l'article 14.
Mettre en place une procédure pour les demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition.
Art. 15-22Désigner un responsable, vérifier l'identité du demandeur et s'assurer de pouvoir retrouver ses données dans tous les systèmes.
Répondre aux demandes des personnes concernées dans un délai d'un mois, prolongeable de deux mois au plus si nécessaire.
Art. 12(3)La prolongation est possible pour des demandes complexes ou nombreuses, et la personne doit en être informée dans le premier mois avec les motifs.
Identifier les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou similaires et prévoir une intervention humaine.
Art. 22Ces décisions ne sont permises que dans les cas de l'article 22, paragraphe 2. Pour le contrat et le consentement explicite, l'article 22, paragraphe 3, exige au minimum une intervention humaine, le droit d'exprimer son point de vue et celui de contester la décision.
3. Gouvernance et documentation
Tenir un registre des activités de traitement, en tant que responsable du traitement et, le cas échéant, en tant que sous-traitant.
Art. 30Y indiquer finalités, catégories de données et de personnes, destinataires, transferts, durées de conservation et mesures de sécurité. Le tenir par écrit, y compris sous forme électronique.
Si vous invoquez l'exemption des moins de 250 salariés, vérifier qu'aucune de ses exclusions ne s'applique.
Art. 30(5)L'exemption ne s'applique pas si le traitement comporte un risque, n'est pas occasionnel ou porte sur des catégories particulières ou des données pénales.
Évaluer et documenter l'obligation de désigner un délégué à la protection des données.
Art. 37Obligatoire pour les autorités publiques et lorsque les activités de base impliquent un suivi régulier à grande échelle ou des catégories particulières à grande échelle. Le droit national peut ajouter des cas.
Publier les coordonnées du DPD, les communiquer à l'autorité de contrôle et garantir son indépendance et ses moyens.
Art. 37(7), Art. 38-39Le DPD ne reçoit aucune instruction pour l'exercice de ses missions, fait rapport au niveau le plus élevé de la direction et n'exerce aucune fonction en conflit d'intérêts.
Si vous êtes établi hors de l'UE mais soumis à l'article 3, paragraphe 2, désigner par écrit un représentant dans l'Union.
Art. 27Le représentant doit être établi dans un État membre où se trouvent les personnes concernées. Les exceptions de l'article 27, paragraphe 2, visent les autorités publiques et les traitements occasionnels peu susceptibles d'engendrer un risque, sans catégories particulières ni données pénales à grande échelle.
4. Protection dès la conception, sous-traitants et sécurité
Intégrer la protection des données dans les systèmes et paramétrer par défaut le traitement des seules données nécessaires à chaque finalité.
Art. 25Par exemple la pseudonymisation, des formulaires minimaux, une visibilité restreinte par défaut et une conservation courte par défaut.
Ne recourir qu'à des sous-traitants présentant des garanties suffisantes et conclure un contrat couvrant toutes les clauses de l'article 28, paragraphe 3.
Art. 28Le contrat couvre les instructions documentées, la confidentialité, la sécurité, l'autorisation des sous-traitants ultérieurs, l'assistance, la suppression ou restitution et les audits.
Mettre en œuvre des mesures de sécurité adaptées au risque, telles que le chiffrement, le contrôle d'accès, les sauvegardes et la restauration.
Art. 32Garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes, et tester et évaluer régulièrement les mesures.
5. Violations de données et évaluation des risques
Communiquer la violation aux personnes concernées dans les meilleurs délais lorsqu'elle est susceptible d'engendrer un risque élevé.
Art. 34Utiliser des termes clairs et décrire les conséquences probables et les mesures prises. Des exceptions existent, par exemple si les données étaient chiffrées.
Réaliser une analyse d'impact relative à la protection des données avant tout traitement susceptible d'engendrer un risque élevé.
Art. 35L'article 35, paragraphe 3, l'exige pour l'évaluation systématique et approfondie automatisée, y compris le profilage, fondant des décisions à effets juridiques ou similaires, pour le traitement à grande échelle de catégories particulières ou de données pénales et pour la surveillance systématique à grande échelle d'une zone accessible au public. Consulter aussi la liste de votre autorité prévue à l'article 35, paragraphe 4.
Consulter l'autorité de contrôle avant le traitement si l'analyse d'impact indique un risque élevé si vous ne prenez pas de mesures pour l'atténuer.
Art. 36Transmettre l'analyse d'impact et les informations sur les responsabilités, finalités et garanties. L'autorité rend un avis écrit dans un délai maximal de huit semaines, prolongeable de six semaines.
6. Transferts internationaux et sanctions
Recenser chaque transfert de données vers des pays tiers, y compris via les sous-traitants et sous-traitants ultérieurs.
Art. 44Chaque transfert nécessite un mécanisme du chapitre V. Selon les lignes directrices 05/2021 du CEPD, un accès à distance par un autre responsable du traitement ou sous-traitant depuis un pays tiers à des données hébergées dans l'UE peut aussi constituer un transfert.
En cas de décision d'adéquation, vérifier qu'elle couvre la destination et, pour les États-Unis, que le destinataire est certifié au titre du cadre de protection des données UE-États-Unis.
Art. 45La Commission a adopté la décision d'adéquation relative au cadre de protection des données, la décision d'exécution (UE) 2023/1795, le 10 juillet 2023. Elle ne couvre que les organisations américaines inscrites sur la liste du cadre.
En l'absence de décision d'adéquation, signer les clauses types de protection des données adoptées par la Commission et documenter une analyse d'impact des transferts (terme de pratique, absent du règlement).
Art. 46(2)(c)Conformément aux recommandations 01/2020 du CEPD, évaluer si la législation du pays de destination compromet les clauses et ajouter des mesures supplémentaires, comme le chiffrement, si nécessaire.
Utiliser des règles d'entreprise contraignantes approuvées pour les transferts intragroupe et réserver les dérogations de l'article 49 à des cas particuliers.
Art. 47, Art. 49Les règles d'entreprise contraignantes doivent être approuvées par l'autorité de contrôle compétente. Le CEPD interprète strictement les dérogations comme le consentement explicite, qui ne fondent pas des transferts réguliers (lignes directrices 2/2018).
Informer la direction de l'exposition à des amendes pouvant atteindre 20 millions d'euros ou, pour une entreprise, 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
Art. 83L'article 83, paragraphe 5, vise les articles 5, 6, 7 et 9, les droits des articles 12 à 22 et les transferts des articles 44 à 49. L'article 83, paragraphe 4, soumet les articles 8, 11, 25 à 39, 42 et 43 au plafond de 10 millions d'euros ou 2 %.
Ces checklists résument les textes officiels pour vous aider à planifier. Elles ne constituent pas un conseil juridique, et le droit ou les lignes directrices nationales peuvent ajouter des exigences. Vérifiez le texte officiel avant de vous fier à un point.
Toutes les checklistsService associé: Mise en conformité au RGPD
Besoin d'un regard extérieur sur vos écarts ?
Nous menons des analyses d'écarts sur ces référentiels et aidons à combler ce qu'elles révèlent.