RGPD – VERS UNE REVISION RELATIVEMENT LIMITEE

Le Comité européen à la protection des données (CEPD) vient de publier sa lettre envoyée à la Commission européenne, à propos de la révision du RGPD actuellement dans les tuyaux à Bruxelles. Elle semble relativement limitée dans ses ambitions puisqu’il est uniquement question d’allègements de l’obligation formelle de tenue d’un registre de traitements, tandis que les obligations de fond liées à la protection des données resteraient intouchées.

Ainsi, la dérogation à l’obligation de tenue d’un registre des traitements (prévue à l’article 30.5 du RGPD) passerait des organisations de moins de 250 personnes aux organisations comptant jusqu’à 500 personnes.

Par ailleurs, certaines exceptions à ces dérogations seraient assouplies. En particulier, actuellement même sous 250 salariés il faut tenir un registre si le traitement « est susceptible de comporter un risque » (la réforme exigerait désormais un « haut risque »), « s’il n’est pas occasionnel » ou « s’il porte notamment sur les catégories [sensibles] » de données personnelles.

Sur ce dernier point, la Commission envisagerait pour les organisations de moins de 500 personnes de ne plus exiger de registre des activités de traitement y compris en cas de traitement de données sensibles (opinions politiques, orientations sexuelles, convictions religieuses, biométrie, etc.), préférant sans doute s’en remettre à la notion subjective de « haut risque » sur les droits et libertés des personnes, au risque d’introduire de l’arbitraire là où la définition des données couvertes par l’article 9 du RGPD a l’avantage de l’objectivité.

Cette simplification ciblée, si elle est confirmée, pourrait avoir un impact direct sur les obligations documentaires de nombreuses organisations de petite taille.

Source : CEPD