Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2016 - n°415 - 261

Le Règlement ne contient aucune précision
sur les « procédures coercitives » qui pourraient être mises en œuvre contre le représentant. Le Règlement ne précise pas non
plus les qualités, compétences ou garanties que doit présenter ce représentant.
Le Règlement précise simplement que
le représentant devra être établi dans
un des Etats membres de l'Union dans
lesquels se « trouvent » les personnes dont
les données font l'objet d'un traitement lié
à l'offre de biens ou de services ou dont le
comportement fait l'objet d'un suivi.

Quand désigner un
représentant dans l'Union ?
Ces responsables de traitement ou
sous-traitants seront tenus de désigner
un représentant établi sur le territoire de
l'Union européenne. A titre d'exemple,
les prestataires de services d'hébergement cloud hébergeant des données de
personnes résidant dans l'Union traitées à des fins de profilage pourront être
soumis à cette obligation.
Le Règlement prévoit cependant
certaines exceptions à cette obligation de désigner un représentant sur
le territoire de l'Union. L'article 27 du
Règlement précise que cette obligation
ne s'applique pas :
■ à un traitement qui est occasionnel, qui n'implique pas un traitement
à grande échelle des catégories
particulières de données [sensibles], ou
un traitement de données à caractère
personnel relatives à des condamnations pénales et à des infractions [...], et
qui n'est pas susceptible d'engendrer
un risque pour les droits et libertés des
personnes physiques, compte tenu de
la nature, du contexte, de la portée et
des finalités du traitement; ou ;
■ à une autorité publique ou à un
organisme public.
Il résulte cependant des considérants
du Règlement que peu de traitements
pourront bénéficier de ces exceptions.
En effet, il résulte du considérant 80
que l'intention du législateur européen
est bien de viser les responsables
de traitement offrant des biens ou
des services ou procédant au suivi
des comportements de personnes
situées sur le territoire de l'Union.
Les contours de cette obligation devront
cependant être clarifiés par le Comité.
Les critères permettant de déterminer

si un traitement est susceptible de
présenter des risques pour les droits et
libertés des personnes devraient être
précisés. En l'état, cette désignation
semble être laissée à l'appréciation
des entreprises non établies sur le
territoire de l'Union.
En tout état de cause, l'opposabilité des
dispositions relatives au représentant
ainsi que la sanction d'un manquement à l'obligation de désignation
seront difficiles à mettre en œuvre à
l'égard des entreprises n'étant pas
établies dans l'Union, les juridictions
européennes n'étant en principe pas
compétentes à leur égard.

COMMENT ET À PARTIR
DE QUAND LES ENTREPRISES
DOIVENT-ELLES SE
PRÉPARER ?
Le Règlement deviendra applicable le
25 mai 2018. Les entreprises disposent
donc de 2 ans pour se mettre en
conformité avec ces obligations. Si
pour certaines entreprises ce délai
paraît suffisamment étendu pour ne
pas faire de cette question une priorité,
l'ampleur des tâches à accomplir
pourrait leur donner tort.

entrent dans le champ d'application
du Règlement. Cette analyse pourrait
être particulièrement complexe pour
les entreprises ne disposant pas d'établissement sur le territoire de l'Union.
L'entreprise doit ensuite déterminer
pour chaque traitement ou catégorie
de traitement quel est son rôle (responsable de traitement ou sous-traitant),
de qualifier les catégories de données
traitées, d'analyser les typologies de
traitements mis en œuvre (profilage,
traitements de données sensibles...)
etc. Sans oublier, pour les entreprises
françaises, de vérifier si elles sont
tenues en fonction de leur taille de
nommer un DPD.
A l'issue de cette étape d'analyse
d'impact, l'entreprise devra mettre
en place son plan d'action en conformité. Il sera nécessaire de procéder à
une analyse de risques lui permettant
de déterminer les mesures à prendre
en priorité et celles qui pourront être
repoussées dans le temps.
En parallèle, les impératifs découlant du Règlement devront être pris
en compte lors de la conception de
nouveaux produits et services.

La première étape et la plus importante
pour les entreprises est d'acquérir une
connaissance complète et détaillée
des traitements mis en œuvre, des
données collectées, de l'endroit où sont
traitées les données, des éventuels
destinataires de ces données ainsi
que des mesures déjà mises en œuvre
pour assurer la protection de ces
données.
Cette première étape de cartographie
de l'utilisation des données personnelles dans l'entreprise devrait être
mise en œuvre au plus tôt. En effet, il
ne s'agit que d'une étape préparatoire
à la mise en conformité qui s'avérera
certainement chronophage, mais sans
laquelle la mise en conformité de l'entreprise ne pourra pas être assurée.

Une fois le plan d'action défini, il ne restera plus qu'à le mettre en application !

Une fois cette « cartographie » réalisée,
il conviendra d'envisager l'impact des
dispositions décrites ci-avant sur les
activités de l'entreprise.
Cette analyse nécessite de déterminer
dans un premier temps si les traitements mis en œuvre par l'entreprise

(3) Proposition présentée par la Commission
européenne le 27 janvier 2012

EXPERTISES JUILLET/AOÛT 2016

Benjamin MAY
Associé

Clémentine RICHARD
Collaboratrice
Aramis Société d'Avocats

Notes
(1) Arrêt
CJUE
1er
Octobre
2015
Weltimmo vs. Nemzeti Adatvédelmi és
Információszabadság Hatóság C-230-14
(2) Arrêt CJUE 13 mai 2014 Google Spain vs.
Agencia Española de Protección de Datos
C-131-12

(4) La minimisation consiste à ne collecter
que des données adéquates pertinentes et
limitées à ce qui est nécessaire au regard
des finalités pour lesquelles elles sont
traitées.
(5) Considérant 80

261

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2016 - n°415