- Les trois contre-exceptions à l’article 30, paragraphe 5 du RGPD doivent être comprises comme alternatives ; l’existence d’une seule suffit déjà à faire tomber l’exception PME.
- Si une contre-exception s’applique, la PME ne doit tenir un registre que pour les activités de traitement concernées, et non pour toutes les opérations de traitement des données.
Le Comité européen de la protection des données (EDSA, anglais EDPB), l’organe qui a succédé au groupe de travail “Article 29”, a adopté le 19 avril 2018 un Prise de position sur l’art. 30, al. 5 RGPD a été publiée. Il s’agit de la dérogation pour les PME à l’obligation de tenir un registre des activités de traitement :
(5. Les obligations visées aux paragraphes 1 et 2 ne s’appliquent pas aux entreprises ou organismes qui moins de 250 employés à condition que la transformation qu’elles effectuent pas un risque pour les droits et les libertés des personnes concernées, le traitement pas seulement occasionnellement a lieu ou pas le traitement de catégories particulières de données conformément à l’article 9, paragraphe 1, ou le traitement de données à caractère personnel relatives aux condamnations pénales et aux infractions visées à l’article 10.
Le site EDSA constate à ce sujet :
- Les contre-exceptions – c’est-à-dire les trois situations dans lesquelles l’exception pour PME Il suffit donc qu’une seule de ces conditions soit remplie pour que l’exception ne s’applique pas.
- Dans la mesure où une contre-exception s’applique, l’obligation de tenir le registre des traitements ne naît toutefois que précisément pour les activités de traitement auxquelles la contre-exception s’applique (ex. : un PME traite des données de collaborateurs et, occasionnellement, des données anodines de clients finaux ; les données de collaborateurs ne sont pas traitées occasionnellement, raison pour laquelle un registre doit être tenu pour ce traitement, mais pas pour les données de clients finaux).