Orientations en matière de protection des données – Question 2
Collecte sur papier – Quelles sont les obligations du/de la représentant(e) du groupe d’organisateurs en tant que responsable unique du traitement des données?
S’applique au scénario 2, sauf en ce qui concerne l’utilisation du service d’échange de fichiers de la Commission.
Le/la représentant(e) du groupe d’organisateurs, lorsqu’il/elle agit en tant que responsable unique du traitement des données, doit veiller à ce que les données soient traitées conformément au RGPD, au droit national applicable et au règlement relatif à l’initiative citoyenne européenne, et doit être en mesure de le démontrer.
Entre autres, il/elle doit:
- évaluer l’impact des opérations de traitement sur les droits et libertés des personnes concernées, ce qui implique notamment d'estimer, avant le traitement, si les données collectées sont sensibles; si les données des signataires sont sensibles, nommer un délégué à la protection des données et réaliser une analyse d’impact relative à la protection des données;
- établir et tenir à jour un registre des activités de traitement;
- prendre les mesures appropriées pour protéger les données à caractère personnel contre les formes illicites de traitement (destruction accidentelle ou illicite, perte accidentelle, altération, diffusion ou accès non autorisés, en particulier lorsque le traitement implique la transmission de données sur un réseau, etc.); celles-ci peuvent varier selon que la collecte est effectuée sur papier ou en ligne;
- informer les signataires sur le traitement de leurs données à caractère personnel, sur la manière dont leur protection est assurée et sur les droits qu'ils peuvent exercer;
- assurer le suivi approprié des questions et demandes des signataires au titre du RGPD;
- garantir la sécurité des données lors de l’envoi des déclarations de soutien collectées aux États membres en vue de leur vérification;
- veiller à ce que les données à caractère personnel collectées ne soient pas utilisées au-delà de la finalité définie dans le règlement relatif à l’initiative citoyenne européenne;
- notifier toute violation de données à caractère personnel à l’autorité de contrôle compétente en matière de protection des données, en principe dans un délai de 72 heures après en avoir pris connaissance, et coopérer, sur demande, avec les autorités de contrôle de la protection des données;
- veiller à ce que toutes les déclarations de soutien et les éventuelles copies soient détruites, en conformité avec les délais de conservation des données applicables.
La liste ci-dessus est fournie à titre d’information et ne dispense pas les organisateurs de remplir les obligations qui leur sont directement applicables en vertu du RGPD.
Références:
- Article 5, paragraphe 7, et article 19 du règlement relatif à l’initiative citoyenne européenne
- Article 24 du RGPD
