Que doit contenir une déclaration de protection des données ?
Elle doit informer de manière adéquate sur la collecte des données personnelles et contenir au moins l’identité et les coordonnées du responsable du traitement, la finalité du traitement et, le cas échéant, les destinataires ou catégories de destinataires. Selon les cas, elle doit aussi préciser les catégories de données traitées, ainsi que les informations relatives à une communication à l’étranger.
Le devoir d’informer porte sur la collecte de données personnelles, qu’elles soient recueillies directement auprès de la personne concernée ou non. Les informations communiquées doivent être nécessaires pour permettre l’exercice des droits prévus par la loi et pour garantir la transparence des traitements. Au minimum, il faut indiquer l’identité et les coordonnées du responsable du traitement, la finalité du traitement et, le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises. Il convient donc de vérifier que ces éléments figurent clairement et qu’ils correspondent aux traitements effectivement réalisés.[1]
Des compléments sont requis dans certaines situations. Si les données personnelles ne sont pas collectées auprès de la personne concernée, il faut en outre communiquer les catégories de données traitées. Lorsque des données personnelles sont communiquées à l’étranger, il faut également indiquer le nom de l’État ou de l’organisme international destinataire et, le cas échéant, les garanties prévues à l’art. 16, al. 2, ou l’application d’une des exceptions prévues à l’art. 17. Lorsque les données n’ont pas été collectées auprès de la personne concernée, les informations mentionnées doivent être communiquées au plus tard un mois après l’obtention des données personnelles; si une communication intervient avant l’échéance de ce délai, l’information doit être donnée au plus tard lors de cette communication.[1]
- Vérifier que l’identité et les coordonnées du responsable du traitement sont indiquées.
- Vérifier que chaque finalité du traitement est décrite.
- Vérifier si des destinataires ou catégories de destinataires doivent être mentionnés.
- Vérifier si les données proviennent d’une autre source que la personne concernée, auquel cas les catégories de données traitées doivent aussi être communiquées.
- Vérifier si des données sont communiquées à l’étranger et, dans ce cas, si le nom de l’État ou de l’organisme international ainsi que, le cas échéant, les garanties ou l’application d’une exception sont indiqués.
Cette réponse résume le texte légal cité tel que publié sur Fedlex. Il faut vérifier la disposition actuellement en vigueur et toute modification ultérieure avant d’agir.[1]