Brainscape's Knowledge GenomeTM

Browse over 1 million classes created by top students, professors, publishers, and experts.


See full index

LPD > C9: Délégation de traitement; Registre des fichiers (nLPD); Délégué à la protection; Représentant dans l'UE > Flashcards

C9: Délégation de traitement; Registre des fichiers (nLPD); Délégué à la protection; Représentant dans l'UE Flashcards

1
Q

Où est comment se définit la délégation du traitement? Quels sont des sous-traitants fréquents?

A

LPD 10a
= résultat de la division du travail de traitement et de la communication de l’information

–> cas fréquents: institut de sondage; fiduciaire

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
2
Q

Conditions pour délégation a. s. d. LPD 10a?

A
  1. Convention (en privé, p. ex. outsourcing général, prestation avocat, etc.) ou base légale (en public)
    - -> peut être sur partie des données slmnt
  2. Limitation aux traitements que le mandant serait en droit d’effectuer lui-même (al. 1 let. a)
    - -> s’explique automatiquement; en gros, respect des principes généraux
  3. Respect des obligations légales ou contractuelles de garder le secret (al. 1 let. b)
  4. Véritable tiers
  5. Le choix du tiers
    1. choisir
    1. instruire
    1. surveiller
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
3
Q

Faut-il une forme spécifique pour la convention?

A

Non; le plus souvent c’est un mandat (CO 394 ss) ou un contrat d’entreprise/Werkvertrag (CO 363 ss) ou encore un contrat mixte

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
4
Q

Contenu de la convention?

A

En particulier:

  • Type
  • Etendue
  • Respect de la confidentialité
  • technologies à mettre en œuvre
  • Accès
  • Développement et maintenance des bases de données générées en sous-traitance
  • Sécurité
  • Localisation du matériel
  • Instructions, contrôles et audits
  • Eventuelle faculté de sous-délégation
  • Conservation et archivage
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
5
Q

Comment se traduisent les 3 dimensions de la diligence nécessaire dans le cadre de la délégation?

A
  1. Choisir: personnel et infrastructure, n. b. sécurité (cf. al. 2)
  2. Instruire: But et étendue, éventuellement exigences spécifiques à la sécurité (cf. al. 2)
  3. Surveiller: vérifier en tout temps la manière dont le traitement délégué est effectué, n. b. sécurité (cf. al. 2)
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
6
Q

Quel est la diligence requise du mandant?

A

Exercer l’instruction et la surveillance avec tte diligence, y c.

  • -> réagir sans délai en cas d’indices
  • -> év. audits réguliers
  • -> tjrs en fonctions des circonstances concrètes
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
7
Q

Que faut-il pour une sous-sous-traitance?

A

Consentement expresse du mandant (≠ explicite/forme particulière)

En cas d’admission: Mandant doit s’assurer d’une chaîne d’instruction et surveillance complète

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
8
Q

Est-ce qu’une obligation de garder le secret a. s. d. LPD 10a I let. b signifie tjrs que la délégation est automatiquement prohibée?

A

Non; il faut vérifier dans la loi s’appliquant ou par interprétation de la clause si l’obligation englobe la délégation aussi.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
9
Q

Quelle est la conséquence si la clause contractuelle prohibe la délégation, mais l’auteur a quand-même saisi un délégataire?

A

Responsabilité contractuelle, pénale et/ou administrative

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
10
Q

Qu’est-ce qui est un “véritable tiers”?

A

= toute personne différente du mandant, même si elle lui est liée économiquement ou juridiquement (p. ex. société fille ou sœur dans le même groupe

≠ au sein de la même personne morale (succursale, autre service ou collaborateur)

  • -> principes généraux s’appliquent dans les deux cas
  • -> et aussi les règles de dilligence dans le choix, l’instruction, et le contrôle
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
11
Q

Qui est le maître du fichier s’il y a délégation (3 cas de figure)?

A
  1. Généralement, le mandant est maître du fichier; ou au moins l’auteur principal du traitement
  2. Mandant et délégataires sont maître du fichier en commun = les deux ont certaines tâches
  3. Délégataire est le seul maître du fichier (qu’il exploite pour le compte d’un tiers)
    = p. ex. institut d’étude du marché menant une enquête pour le compte du client
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
12
Q

A quoi faut-il penser si le délégataire se trouve p. ex. en Allemagne?

A

Communication transfrontière –> LPD 6 s’applique (aussi si communication pas à un véritable tiers et ainsi pas de délégation)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
13
Q

Par rapport à quel art. LPD 10a est lex specialis?

A

LPD 12 II c –> en cas de délégation, il suffit de remplir les conditions de LPD 10a pour le traitement de données sensibles ou des profils de la personnalité (!) sans autre motif justificatif

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
14
Q

Quels art. s’appliquent pas lors qu’il y a délégation?

A

LPD 8 II let. b: Le délégué n’est pas “destinataire”; il faut pas donner accès à cette information/les coordonnées du délégué du traitement

LPD 11 III –> devoir d’info pour données sensibles et profils tombe.
–> Raison: pas de communication à un véritable tiers, tant et aussi longtemps que le délégataire n’utilise pas les données pour ses propres fins

LPD 14 II let . c: ibid. LPD 8 II let. b

LPD 14 III in fine: La communication au délégué n’est pas “communication à un tiers”

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
15
Q

Est-ce que les devoir particuliers du maître du fichier s’appliquent au délégataire? Ça sera toujours le cas dans la nLPD?

A

En principe non; à moins que le délégataire est lui-même maître du fichier

nLPD 14 III: sous-traitant devra mener un registre des activités de traitement

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
16
Q

Peut le délégataire se prévaloir d’une justification?

A

Oui, dans la même mesure que le mandant (al. 3) –> LPD 13

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
17
Q

Si la délégation correspond aux exigences de LPD 10a, faut-il informer la personne concernée? Ou faut-il même son consentement?

A

Non (cf. en haut: LPD 11 III; 14 II let. c et III ne s’appliquent pas faute de manque des ECO)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
18
Q

Est-ce que le délégataire peut se fier du label de qualité du mandant (LPD 11)?

A

Non

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
19
Q

Conséquence pour le mandant s’il a délégué sans les préjudices nécessaires?

A

Responsabilité délictuelle ou contractuelle

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
20
Q

nLPD

A

nLPD

21
Q

Dans la nLPD, qui devra comment documenter ses activités de traitement?

A

nLPD 12: Registre des activités de tratiement (cf. aussi RGPD 30)
–> Incombe au responsable et au sous-traitant

22
Q

Est-ce que le registre est le journal détaillé?

A

Non, indique, par écrit, les activités importantes (cf. al. 2, p. ex. identité du responsable, finalité, destinataire, conservation, etc.)
–> permet de savoir si un traitement de données est, en principe, conforme ou non à la protection des données

23
Q

Quel est le contenu du registre du sous-traitant (délégataire en LPD)?

A

nLPD 12 III: liste raccourci

  • identité sous-traitant + responsable du traitemetn
  • catégories de traitements effectués
  • indications de al. 2 let. f-g
24
Q

Qu’est-ce qui changera pour les organes fédéraux concernant le registre des activités?

A

Rien (cf. LPD 11a II; OLPD 16)

25
Q

Où est réglé le conseiller à la protection des données, existe-il déjà?

A
  • Existe déjà; est un moyen pour se délier du devoir de tenir un registre des fichiers (LPD 11a V let. e)
  • Réglé à OLPD 12a et 12b
26
Q

Que fait le conseiller/Data Protection Officer (DPO)?

A
  • assure bonne application des normes sur la protection de données
  • lien avec les maîtres des fichiers (conseiller, accompagner)
  • former les employés pour les rendre conscients sur la protection de données (culture de protection)
  • -> employés doivent savoir s’ils sont responsables de traitement p. ex.

-accompagner les projets

27
Q

Est-ce qu’il y a une obligation légale d’avoir un DPO dans la LPD ou la nLPD?

A

privés: pas dans loi CH, ni sous LPD (11a V let. e) ni sous nLPD (10)

mais oui pour les organes fédéraux

28
Q

Obligation du DPO selon RGPD?

A

oui, dans certains cas (RGPD 37 I)
–> en général des grandes entreprises, p. ex. assurances

PEUT S’APPLIQUER AUSSI AUX RESPONSABLES NON ETABLIS EN UE (3 II) ET AINSI AUX RESPONSABLES SUISSES !!

29
Q

Comment nommer le DPO? Interne ou externe? De quoi faut-il tenir compte?

A

Soit nommer qqn à l’interne

  • -> pas de conflits d’intérêts; doit/devrait être indépendant ≠ s’il traite lui-même des données aussi, p. ex. (mais en pratique ça arrive souvent)
  • -> au mieux qqn du service compliance si au sein de l’entreprise; en Belgique, amende pour avoir nommé un auditeur

Soit nommer qqn à l’externe

Le choix est devenu difficile

30
Q

Est-ce que le DPO et le maître du fichier sont la même personne?

A

NON !

31
Q

Quels sont les défis particuliers pour une DPO dans une petite entreprise?

A
  • si on parle d’engager un DPO, on pense aux grandes entreprises; mais aussi dans les petites entreprises ça existe, mais juste peu de traitement en même temps
  • vrmnt intéressant: moyennes entreprises
  • à nouveau: c’est pas facile de trouver le bon DPO, notamment le DPO assez neutre
32
Q

Quels sont les premiers pas après avoir engagé un nouveau DPO, pour lui-même, mais aussi pour l’entreprise?

A

Entreprise: annoncer au préposé de la protection des données (OLPD 12a I let. b)

premier jour du DPO:

  • normes applicables
  • créer un aperçu des traitements qui sont faits au sein de l’entreprise
  • compliance = conseiller les maîtres des fichiers
33
Q

Est-ce que la tenue des registres de traitement est une tâche du DPO?

A

théoriquement: non, c sont les maîtres des fichiers

pratiquement: oui, c souvent le DPO
- -> des fois aussi en faisant l’aperçu des traitements

34
Q

Est-ce que le DPO a un impact?

A

Hering: certainement; même si ça dépend aussi de la taille de l’entreprise

le DPO établit quelles données sont collectées dans quel but; cb de temps sont ils gardés; etc. —> proportionnalité —> avantage concurrentiel

35
Q

Est-ce que le système concernant le DPO changeront pour les organes fédéraux avec la nouvelle loi?

A

Non

36
Q

Représentant RGDP

A

Représentant RGDP

37
Q

Qui doit désigner un représentant en UE?

A

Ceux à qui s’applique la RGPD de manière extra-territoriale (art. 3 II); p. ex. entreprise suisse qui offre biens ou services en UE ou qui fait des profilages des citoyens EEE

SAUF s’il y a une exception a. s. d. RGPD 27 II

38
Q

Quelle est le plus fréquemment la base entre le responsable du traitement et son représentant en UE?

A

Contrat

39
Q

Le représentant, peut-il 1) être une personne physique aussi bien qu’une personne morale; et 2) peut un représentant représenter plusieurs responsable; et 3) faut-il un représentant pour chaque activité distincte du responsable/sous-responsable?

A

1) Oui, PP ou PM, égal
2) Oui
3) Non; la représentation peut être générale

40
Q

Est-ce que le représentant peut être DPO à la fois?

A

Non (indépendance)

  • -> doit pas communiquer des décisions du responsable et en son nom qu’il a déconseillé en tant que DPO
  • -> il y aurait aussi conflit d’intérêts si le DPO devrait représenter le responsable devant les tribunaux (et se prononcer sur une décision qu’il a déconseillé)
41
Q

Faut-il communiquer l’dentité du représentant à une autorité nationale/européenne?

A

Non

Par contre, il faut l’indiquer envers la personne concernée.

L’info evraient en outre être facilement accessibles aux autorités de contrôle afin de faciliter l’établissement d’un contact pour les besoins de la coopération.

42
Q

Quels sont les conditions de l’exemption de l’obligation du représentant?

A

RGPD 27 II

let. a: le traitement est «occasionnel, n’implique pas un traitement à grande échelle des catégories particulières de données visées à l’article 9, paragraphe 1, ou un traitement de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10, et n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, compte tenu de la nature, du contexte, de la portée et des finalités du traitement».
let. b: le traitement est effectué par «une autorité publique ou un organisme public».

43
Q

Que veut dire “traitement occasionnel”?

A

en dehors du cours normal des affaires ou des activités du responsable du traitement ou du sous-traitant

44
Q

Quand est-ce qu’on parle d’un “traitement à grande échelle”? Quels sont les critères?

A
  • Nombre de personnes absolu ou relatif
  • Volume de données et/ou le spectre des données traitées;
  • la durée, ou la permanence, des activités de traitement des données;
  • l’étendue géographique de l’activité de traitement
45
Q

Dans quel Etat membre le représentant doit se trouver?

A

RGPD 27 III: là, où il y a au moins une proportion significative des personnes concernées/destinataires de l’offre de biens ou services

46
Q

Qu’est-ce que le représentant fait?

A

Il agit au nom du responsable du traitement ou du sous-traitant qu’il représente en ce qui concerne les obligations qui incombent à ces derniers en vertu du GDPR. Notamment:

  • Obligations liées à l’exercice des droits des personnes concernées et,
  • à cet égard, l’identité et les coordonnées du représentant doivent être fournies aux personnes concernées conformément aux articles 13 et 14.
  • le représentant doit faciliter la communication entre les personnes concernées et le responsable du traitement ou le sous-traitant représenté, afin que l’exercice des droits des personnes concernées soit effectif.
47
Q

Est-ce que le représentant est lui-même responsable du respect des droits des personnes concernées?

A

Non, le responsable du traitement

48
Q

Peut le responsable ou sous-responsable confier la tâche de mener un registre des activités (RGPD 30) au représentant?

A

Jein; il faut un registre chez le représentant et chez le responsable du traitement

LPD (19 decks)

Brainscape helps you reach your goals faster, through stronger study habits.
© 2024 Bold Learning Solutions. Terms and Conditions