Manuel - Droit et protection des données à caractère personnel - 1re - 213

L'originalité du dispositif de protection
252. La journalisation. - Des journaux sont établis pour certaines
opérations de traitement dans des systèmes de traitement automatisé167
.
Les journaux des opérations de consultation et de communication permettent
d'établir le motif, la date et l'heure de celles-ci et, dans la mesure
du possible, l'identification de la personne qui a consulté ou communiqué
les données à caractère personnel, ainsi que l'identité du destinataire des
données.
L'article 25-2 de la directive précise que les journaux sont utilisés uniquement
à des fins de vérification de licéité du traitement, d'autocontrôle, de
garantie de l'intégrité et de la sécurité des données et à des fins de procédures
pénales168
par le responsable du traitement et le sous-traitant169
. Ils sont mis, sur demande, à la disposition de l'autorité de contrôle
.
253. L'analyse d'impact relative à la protection des données. -
Lorsqu'un type de traitement170
peut engendrer un risque élevé pour les
droits et libertés des personnes physiques, une analyse d'impact des opérations
de traitement envisagées sur la protection des données s'impose
avant de procéder au traitement171
. Cette analyse contient au moins une
description générale des opérations de traitement envisagées, une évaluation
des risques ou les droits et libertés des personnes concernées ainsi
que les mesures envisagées pour y faire face. Elle contient également
les garanties mais aussi les mesures et les mécanismes de sécurité visant
à assurer la protection des données et apporter la preuve du respect de la
directive. Dans ce cadre, il est tenu compte des droits et des intérêts légitimes
des personnes concernées ainsi que des autres personnes
impactées172
.
254. La consultation préalable de l'autorité de contrôle. - Le responsable
du traitement ou le sous-traitant doit consulter l'autorité de
contrôle préalablement au traitement des données qui fera partie d'un
nouveau fichier à créer par le responsable du traitement ou le sous-traitant
dans deux hypothèses. D'une part, lorsque l'analyse d'impact indique
que le traitement présente un risque élevé ou que le responsable du traitement
ne prend pas de mesures pour atténuer ce risque173
.D'autre part,
lorsque le type de traitement présente des risques élevés pour les libertés
et les droits des personnes concernées, notamment en raison de l'utilisation
de nouveaux mécanismes ou de nouvelles technologies ou
procédures174
.
167. Art. 25-1, dir. Il s'agit, au moins, de la collecte, la modification, la consultation, la communication, y
compris les transferts, l'interconnexion et l'effacement.
168. Art. 25-2, dir.
169. Art. 25-3, dir.
170. En particulier par le recours aux nouvelles technologies et compte tenu de la nature, de la portée, du
contexte et des finalités du traitement.
171. Art. 27-1, dir.
172. Art. 27-2, dir.
173. Art. 28-1 a), dir.
174. Art. 28-1 b), dir.
213
Manuel - Droit et protection des données à caractère personnel - 1re

Table des matières de la publication Manuel - Droit et protection des données à caractère personnel - 1re
