La Commission européenne a récemment communiqué sur une mesure de simplification du RGPD (voir le Q&R sur la simplification omnibus IV), visant à alléger certaines « contraintes » pour les entreprises de moins de 750 salariés. L’une des propositions notables concerne l’exemption de l’obligation de tenir un registre des traitements (article 30 du RGPD), à condition qu’il n’y ait pas de traitements à risque élevé. Cette mesure viendrait remplacer le seuil initial de 250 salariés.
Toutefois, il est essentiel de rappeler qu’il ne s’agit en aucun cas d’une exonération générale du RGPD ni même d’une mise sur pause. Toutes les autres obligations – information, choix de la base légale (consentement, intérêt légitime), minimisation et proportionnalité, sécurité, analyse d’impact (AIPD), droits des personnes, « accountability », formation des collaborateurs, gestion et audit des sous-traitants – restent pleinement applicables.
Le Club DPO rappelle que cette évolution est avant tout formelle. Elle ne remet pas en cause les piliers du RGPD, ni le besoin d’une documentation solide pour démontrer la conformité.
- Pour toute organisation agissant en tant que responsable de traitement ou sous-traitant, le risque d’une mauvaise compréhension de ces mesures est réel. Pour un employeur les conséquences d’une non-application du RGPD en cas de contentieux entre salariés et employeurs peuvent être dévastatrices (licenciement nul, violation des droits du CSE…). Envers des consommateurs où le respect des principes du RGPD reste particulièrement scruté, l’inapplication comme la mauvaise application du RGPD à l’heure de l’intelligence artificielle générative peut également avoir un lourd impact réputationnel et financier, notamment en cas de détournement de finalité, « shadow IT/AI » ou excès dans la collecte et la durée de conservation des données personnelles, travers si souvent et rapidement rencontrés en pratique.
- Le rôle du DPO reste central pour assurer un niveau de conformité acceptable alliant pédagogie et vigilance pour poser et maintenir les bonnes pratiques. Il doit rester au cœur de la gouvernance des données au sens du RGPD comme du règlement sur l’intelligence artificielle.
Le Club DPO réaffirme sa position : cette simplification ne doit pas être perçue comme un relâchement, mais comme une opportunité d’optimiser les pratiques, tout en restant pleinement conforme au cadre légal national et européen.
#RGPD #ClubDPO #DataGovernance #ProtectionDesDonnées #RIA #DPO