Quand une entreprise doit-elle établir un règlement de traitement des données ?

Le responsable du traitement privé et son sous-traitant privé établissent un règlement pour les traitements automatisés dans deux cas: en cas de traitement de données sensibles à grande échelle, ou en cas de profilage à risque élevé. L’obligation vise donc les traitements automatisés et s’adresse à la fois au responsable du traitement privé et au sous-traitant privé. Pour vérifier si un règlement doit être établi, il faut examiner si l’activité de traitement entre dans l’un de ces deux cas et si elle est effectuée de manière automatisée.^[1]

Le règlement comprend en particulier des informations sur l’organisation interne, sur les procédures de traitement et de contrôle des données, ainsi que sur les mesures visant à garantir la sécurité des données. Le responsable du traitement privé et son sous-traitant privé actualisent régulièrement le règlement. S’ils ont nommé un conseiller à la protection des données, ils mettent le règlement à sa disposition. En pratique, il faut donc vérifier non seulement si l’obligation d’établir le règlement existe, mais aussi si son contenu couvre ces éléments et s’il est tenu à jour.^[1]

Cette réponse résume le texte légal cité tel qu’il est publié sur Fedlex. Il faut vérifier la disposition actuellement en vigueur et toute modification ultérieure avant d’agir.^[1]