L’entreprise (ou affilié) est responsable de sa conformité : transparence et responsabilisation.

L’entreprise doit s’assurer que les personnes sont informées de leurs droits, des conditions de collecte… : principe de transparence.
La collecte des données doit reposer sur une des 6 bases légales (licéité) : consentement, contrat, obligation légale, intérêt légitime, sauvegarde des intérêts vitaux, intérêt public.

Cette collecte doit être loyale et transparente au regard de la personne concernée, avoir une finalité légitime et respecter le principe de minimisation.  La durée de conservation des données actives doit être limitée, elles sont alors supprimées ou archivées ou anonymisées.

L’entreprise doit documenter sa conformité : tenir à jour un registre des traitements et l’accompagner de tous les documents en relation (les mentions d’information, les formulaires de consentement, les procédures d’exercices des droits, les analyses d’impact…)

Le registre des traitements contient la liste des traitements de données et pour chaque traitement, des informations sur ce traitement : les parties prenantes, les catégories de données, à quoi elles servent (la finalité), qui y a accès, leurs temps de conservation, leur sécurisation…
Sa constitution permet de s’interroger sur les données dont l’entreprise à réellement besoin, la base légale de la collecte, la durée de conservation des données, la pertinence (principe de minimisation).

La CNIL publie un nouveau modèle de registre simplifié et elle met aussi à disposition son propre registre des traitements.

L’entreprise doit s’assurer que les droits des personnes sont bien respectés (accès, rectification, opposition, effacement).
Elle doit prévoir des procédures pour pouvoir respecter ses droits.
Le RGPD introduit 3 nouveaux droits : portabilité, limitation du traitement, décision individuelle automatisée.

La notion de sécurisation des données est beaucoup plus forte et toute violation de données doit être déclarée.

La CNIL propose quelques outils pour améliorer cette sécurisation.

Dans certains cas, l’entreprise doit nommer une DPO : Data Protection Officer.

Pour tous les traitements à risque c’est-à-dire susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, notamment lors de traitements de données sensibles, le responsable de traitement devra conduire une analyse d’impact complète, faisant apparaître les caractéristiques du traitement, les risques et les mesures adoptées.

La CNIL met à disposition un outil open source le PIA pour faciliter la conduite et la formalisation d’analyses d’impact relatives à la protection des données.

Le Youtubeur « Cookie Connecté » a collaboré avec la CNIL pour réaliser une vidéo sur le RGPD.