Le texte de l’article 40 – Codes de conduite
”Les États membres, les autorités de contrôle, le comité et la Commission encouragent l’élaboration de codes de conduite destinés à contribuer à la bonne application du présent règlement, compte tenu de la spécificité des différents secteurs de traitement et des besoins spécifiques des micro, petites et moyennes entreprises. Les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent élaborer des codes de conduite, les modifier ou les proroger, aux fins de préciser les modalités d’application du présent règlement, telles que : a) le traitement loyal et transparent; b) les intérêts légitimes poursuivis par les responsables du traitement dans des contextes spécifiques; c) la collecte des données à caractère personnel; d) la pseudonymisation des données à caractère personnel; e) les informations communiquées au public et aux personnes concernées; f) l’exercice des droits des personnes concernées; g) les informations communiquées aux enfants et la protection dont bénéficient les enfants et la manière d’obtenir le consentement des titulaires de la responsabilité parentale à l’égard de l’enfant; h) les mesures et les procédures visées aux articles 24 et 25 ….”
article 40
L’analyse de l’article : Codes de conduite
Un des moyens de faciliter la mise en conformité au RGPD pour les entreprises, fédérations et associations est l’élaboration de codes de conduite, prévue par l’article 40 et vivement encouragée par les autorités européennes.
Qu’est-ce que le code de conduite du RGPD ?
C’est ce que nous allons voir dans cet article, ainsi que les personnes impliquées dans son élaboration, son intérêt et ses formalités de validation et de publication.
Qu’est-ce que le code de conduite du RGPD ?
Il s’agit d’un document de référence qui énumère les exigences du RGPD, et qui doit être mis en place par une organisation représentative d’un secteur d’activité donné.
Qui doit élaborer le code de conduite ?
Le code de conduite a vocation à être élaboré par des associations ou d’autres organismes représentatifs de catégories de responsables du traitement ou de sous-traitants, soit selon leur secteur d’activité, soit selon la taille de leurs structures.
Exemples : Une fédération locale d’auto-entrepreneurs ou encore une association française de Directeurs des Ressources Humaines dans le secteur de la santé peuvent être considérés comme représentatifs et élaborer un code de conduite auquel ces structures pourront se référer.
A quoi sert-il ?
- En répondant en amont et de manière circonstanciée à certaines questions spécifiques au traitement des données, le code permet aux entreprises et associations concernées, de s’y référer directement pour trancher une question, sans avoir à faire un effort d’interprétation et qui peut être difficile pour des non-juristes.
- Par ailleurs, la rédaction d’un tel document permet, dans une démarche de mise en conformité à la réglementation RGPD et d’auto-contrôle permanent sur ce sujet, de se ménager une preuve de conformité, le cas échéant.
Quelles sont les formalités visant à le rendre obligatoire ?
En France, la construction du code ne peut se faire sans avoir obtenu l’avis favorable de la CNIL (Commission Nationale Informatique et Libertés).
Une fois l’aval de la CNIL obtenu, dans l’hypothèse où les activités de traitement de données concernées se font en France, c’est la CNIL elle-même qui publie le code accepté.
En revanche, si les activités de traitements concernées sont relatives à plusieurs pays de l’Union Européenne, la CNIL envoie le projet de code au Comité européen de protection des données pour obtenir son approbation.
Si le Comité donne son accord sur le projet, il soumet à son tour celui-ci à la Commission Européenne, qui décide de son ultime validation et de sa publication à l’échelle européenne.
Qui en contrôle la bonne application ?
Lors de son élaboration, le code doit mentionner les modalités de contrôle de sa bonne application par un tiers certificateur, qui doit être agréé par la CNIL.
Les pouvoirs de ce tiers certificateur et les modalités d’exercice de son contrôle doivent être précisés dans le document.
L’organisation représentative en charge de la rédaction peut être tiers certificateur agréé, sous réserve de remplir les conditions mentionnées à l’article 41.
