Le principe de responsabilité est un principe commun pour les organisations dans de nombreuses disciplines ; le principe comprend le fait que les organisations répondent aux attentes, par exemple dans la fourniture de leurs produits et leur comportement à l’égard de ceux avec lesquels elles interagissent. Le règlement général sur la protection des données (RGPD) intègre la responsabilité du responsable du traitement en tant que principe exigeant des organisations qu’elles mettent en place des mesures techniques et organisationnelles appropriées et qu’elles soient en mesure de démontrer ce qu’elles ont fait et son efficacité sur demande.
Les organisations, et non les autorités chargées de la protection des données, doivent démontrer qu’elles se conforment à la loi. Ces mesures incluent: des documents adéquats concernant ce sur quoi porte le traitement des données à caractère personnel ainsi que la façon dont le traitement est effectué, sa finalité et sa durée; des processus et procédures documentés visant à aborder les questions en matière de protection des données à un stade précoce lors de la création des systèmes d’information ou de la réponse à une violation des données; la présence d’un délégué à la protection des données à intégrer dans la planification et les activités de l’organisation, etc.
En 2015, en prévision du RGPD, le CEPD a entrepris un projet visant à développer un cadre pour une plus grande responsabilité dans le traitement des données à appliquer à votre propre organisation, en tant qu’institution, gestionnaire des ressources financières et du personnel et en tant que responsable du traitement.
En outre, nous avons commencé à promouvoir le principe de responsabilité au moyen de visites dans les petits, moyens et grands organes de l’UE afin d’expliquer les nouvelles obligations résultant du cadre juridique révisé ainsi que les implications pour les institutions de l’UE et les travaux du CEPD en tant qu’autorité de contrôle pour ces dernières..
Politique en matière de consultations dans le domaine de la supervision et de la mise en application
Lettre concernant le Livre Vert: "Vers un marché européen intégré des paiements par carte, par internet et par téléphone mobile"
Voyez également le texte du Livre Vert: "Vers un marché européen intégré des paiements par carte, par internet et par téléphone mobile".
Avis sur le paquet de mesures pour une réforme de la protection des données
Avis sur la proposition de règlement du Parlement européen et du Conseil concernant l’intégrité et la transparence du marché de l’énergie, OJ C 279/03, 23.09.2011, p.20
The main aim of the Proposal is to prevent market manipulation and insider trading on wholesale energy (gas and electricity) markets. The Proposal contains several provisions relevant to the protection of personal data, including those on market monitoring and reporting and investigation and enforcement. The EDPS recommendations included the following:
The Proposal should clarify whether any personal data may be processed in the context of market monitoring and reporting and which safeguards will apply. If, in contrast, no processing of personal data is expected (or such processing would only be exceptional and would be restricted to rare cases, where a wholesale energy trader might be an individual rather than a legal entity), this should be clearly set forth in the Proposal, at least in a recital.
Provisions on data protection, data security and accountability should be clarified and further strengthened, especially if the processing of personal data would play a more structural role. The Commission should ensure that adequate controls are in place to ensure data protection compliance and provide evidence thereof ("accountability").
The Proposal should clarify whether on-site inspections would be limited to a business property (premises and vehicles) of a market participant or also apply to private properties (premises or vehicles) of individuals. In the latter case, the necessity and proportionality of this power should be clearly justified and a judicial warrant and additional safeguards should be required. This should be clearly foreseen in the proposed Regulation.
The scope of the powers to require "existing telephone and existing data traffic records" should be clarified. The Proposal should unambiguously specify what records can be required and from whom. The fact that no data can be required from providers of publicly available electronic communications services should be explicitly mentioned in the text of the proposed Regulation, at least in a recital. The Proposal should also clarify whether the authorities may also require private records of individuals, such as employees or executives of the market participant under investigation (e.g. text messages sent from personal mobile devices or browsing history of home internet use). If this would be the case, the necessity and proportionality of this power should be clearly justified and the Proposal should also require a warrant from a judicial authority.
With regard to reporting of suspected market abuse, the Proposal should explicitly provide that any personal data contained in these reports should only be used for purposes of investigating the suspected market abuse reported. Unless a suspected market abuse has led to a specific investigation and the investigation is still on-going (or a suspicion has proved to be well-founded and has led to a successful investigation), all personal data related to the reported suspected market abuse should be deleted from the records of all recipients after the lapse of a specified period (unless otherwise justified, at the latest two years following the date of report). In addition, parties to an information exchange should also send each other an update in case a suspicion proves to be unfounded and/or an investigation has been closed without taking further action.
Avis concernant le système de coopération en matière de protection des consommateurs («SCPC») et sur la recommandation 2011/136/UE de la Commission concernant les lignes directrices régissant l’application de règles relatives à la protection des données au SCPC, OJ C 217/06, 23.07.2011, p.18