- Le groupe Art. 29 définit des principes directeurs en matière de transparence, qui laissent aux responsables une grande marge d’appréciation dans la mise en œuvre pratique.
- L’approche “en couches” recommandée s’applique au contenu et à la mise à disposition dans le temps ; les explications complètes doivent en outre être disponibles sous forme de document.
- En cas de modifications importantes des déclarations de protection des données, une notification active des personnes concernées est nécessaire, sinon une publication suffit.
- Pour les exceptions selon l’art.14 al.5 let. b (effort disproportionné), des mesures de protection sont obligatoires ; la publication sur Internet peut être une telle mesure.
Le 13 avril 2018, le groupe de travail “Article 29” a publié la version définitive du document de travail 260 sur la transparence (WP260 rev.01). Une comparaison de cette version avec la version de l’audition publiée en janvier 2018 donne le tableau suivant, qui n’est évidemment pas exhaustif. – Un Document de comparaison (redline) est disponible ici : PDF.
-
- Le groupe de l’article 29 souligne que toutes les nuances ne peuvent pas être représentées et que l’objectif est que les responsables “at a high level” comprennent ce que le groupe entend par transparence – ce qui souligne que les principes ont valeur de lignes directrices, mais qu’il existe une marge d’appréciation dans la mise en œuvre de la transparence ;
- En général, l’approche du groupe de l’article 29 n’est pas devenue plus pragmatique. Certaines indications constituent même des durcissements, le plus souvent dans les nuances ;
- si les déclarations de protection des données doivent être adaptées en raison du RGPDSi les modifications sont importantes, il convient de les communiquer activement aux personnes concernées. Dans le cas contraire, la publication suffit ;
- les enfants doivent faire l’objet d’une attention particulière lors de la formulation et de la conception des déclarations de protection des données lorsque la déclaration concerne un traitement qui vise les enfants ou dont on peut supposer qu’il concernera en particulier les enfants en âge de discernement (“literate age”) ;
- le “approche “en couchesLe groupe recommande de ne pas se limiter aux déclarations électroniques, mais également à la procédure temporelle : Si des indications sont fournies juste à temps (par exemple sous la forme d’un texte survolé par la souris dans un formulaire en ligne), l’ensemble de l’explication doit en outre être disponible sous la forme d’un document unique ; du point de vue du groupe, il s’agit là aussi d’une approche par couches. Des explications supplémentaires sont fournies sur l’approche “en couches” ;
- formulations indéterminées (“may”, “might”, “some”, “possible”, etc.) devraient être évités. S’ils sont tout de même utilisés, le responsable devrait être en mesure d’expliquer pourquoi de tels termes sont nécessaires et qu’ils ne violent pas le principe d’équité – tout de même ;
- chez Modifications du traitement le groupe de travail propose de nouveaux critères à prendre en compte ;
- le groupe de travail sur la protection des données donne un nouvel exemple de Exception prévue à l’article 14, paragraphe 5, point b) du RGPD (“effort disproportionné”) :
Un grand hôpital métropolitain exige que tous les patients pour les procédures de jour, les admissions à long terme et les rendez-vous remplissent un formulaire d’information patient qui recherche les détails de deux prochains-of-kin (sujets de données). Compte tenu du très grand volume de patients passage par l’hôpital sur une base quotidienne, cela impliquerait un effort disproportionné de la part de l’hôpital pour fournir à toutes les personnes qui ont été répertoriées comme étant les enfants suivants sur les formulaires remplis chaque jour par les patients avec les informations requises en vertu de l’article 14
- si un responsable invoque cette exception, il est tenu, en vertu de l’article 14, paragraphe 5, point b), du RGPD, de prendre des mesures de protection. Le groupe de travail confirme désormais qu’une telle mesure de protection peut consister à mettre en ligne, par exemple, une déclaration de protection des données qui assure la transparence correspondante.