RGPD – VERS UNE RÉVISION RELATIVEMENT LIMITÉE

Le Comité européen à la protection des données (CEPD) vient de publier sa lettre envoyée à la Commission européenne, à propos de la révision du RGPD actuellement dans les tuyaux à Bruxelles. Elle semble relativement limitée dans ses ambitions puisqu'il est uniquement question d'allègements de l'obligation formelle de tenue d'un registre de traitements, tandis que les obligations de fond liées à la protection des données resteraient intouchées.

Ainsi, la dérogation à l'obligation de tenue d'un registre des traitements (prévue à l'article 30.5 du RGPD) passerait des organisations de moins de 250 personnes aux organisations comptant jusqu'à 500 personnes.

Par ailleurs, certaines exceptions à ces dérogations seraient assouplies. En particulier, actuellement même sous 250 salariés il faut tenir un registre si le traitement "est susceptible de comporter un risque" (la réforme exigerait désormais un "haut risque"), "s'il n'est pas occasionnel" ou "s'il porte notamment sur les catégories [sensibles]" de données personnelles.

Sur ce dernier point, la Commission envisagerait pour les organisations de moins de 500 personnes de ne plus exiger de registre des activités de traitement y compris en cas de traitement de données sensibles (opinions politiques, orientations sexuelles, convictions religieuses, biométrie, etc.), préférant sans doute s'en remettre à la notion subjective de "haut risque" sur les droits et libertés des personnes, au risque d'introduire de l'arbitraire là où la définition des données couvertes par l'article 9 du RGPD a l'avantage de l'objectivité.

Cette simplification ciblée, si elle est confirmée, pourrait avoir un impact direct sur les obligations documentaires de nombreuses organisations de petite taille.

Source : CEPD