- Contrôleur: décide pourquoi et comment les données à caractère personnel sont traitées — assume la responsabilité principale du RGPD
- Processeur: traite les données pour le compte d'un contrôleur, selon des instructions documentées
- Vous pouvez être à la fois contrôleur et processeur pour différents ensembles de données simultanément
- Les contrôleurs doivent avoir écrit des accords de traitement des données avec tous les processeurs
La distinction entre contrôleur et processeur est l'un des concepts les plus fondamentaux du RGPD — et l'un des plus fréquemment mal appliqués. Se tromper, c'est soit trop accepter les obligations que vous n'avez pas, soit sous-estimer les obligations que vous faites. Les deux créent des lacunes en matière de conformité.
Voie d'achat HubSecure connexe
Solutions de rechange et comparaisons guide Google Workspace alternative HubSecure modules comparaison bibliothèque solutions de rechange Guide Library book a workflow démo
Meilleur ajustement et pas meilleur ajustement
| Meilleur pour | Pas le mieux pour |
|---|---|
| Équipes réglementées qui ont besoin de dossiers clients, de fichiers sécurisés, de la propriété des workflows, du CRAB et de l'historique d'audit ensemble. | Les équipes qui n'ont besoin que d'un outil à usage unique et qui n'ont pas besoin d'opérations réglementées ou de preuves de conformité. |
Ressources connexes en matière de sécurité, de protection de la vie privée et de gouvernance
Continuer avec HubSecure centre de sécurité et de confiance , accord de traitement de données , sous-processeurs , flux de travail de conformité , opérateur AI régi .
Cas d'utilisation connexe
Ce guide appartient au cluster Workspace Alternatives and Tool Consolidation Guides. Continuer avec le moyeu produit pour les alternatives d'espace de travail et la consolidation des outils .
Le contrôleur des données
Un responsable du traitement des données est l'entité qui détermine les finalités et les moyens de traitement des données à caractère personnel. En langage clair : vous décidez pourquoi vous collectez des données et comment elles sont traitées. Le pouvoir de décision sur les données est le vôtre.
La plupart des entreprises qui détiennent des données client sont des contrôleurs pour ces données. Un cabinet d'avocats qui détient des fichiers client KYC est un contrôleur. Un cabinet comptable qui traite l'information financière du client est un contrôleur. La question principale est : qui a décidé de recueillir ces données et dans quel but ?
Le processeur de données
Un processeur de données est une entité qui traite des données personnelles pour le compte d'un responsable du traitement, conformément aux instructions du responsable du traitement. Le processeur ne décide pas pourquoi les données sont collectées ou comment elles sont utilisées — il effectue simplement des tâches de traitement définies comme indiqué.
Les fournisseurs de services Cloud, les bureaux de paye, les entreprises de services gérés par les TI et les plateformes SaaS (y compris HubSecure , lorsqu'ils sont utilisés pour traiter les données des clients) sont des processeurs. Ils traitent les données que les contrôleurs ont décidé de détenir, dans le cadre de contrats qui définissent ce qu'ils peuvent et ne peuvent pas faire avec elle.
Les principales différences
Responsabilités du contrôleur
- Déterminer la base légale du traitement
- Publier un avis de confidentialité aux personnes concernées
- Tenir un registre des activités de traitement
- Répondre aux demandes de droits de la personne concernée
- Signaler les violations de données à l'autorité de contrôle dans les 72 heures
- Effectuer des EIDD pour le traitement à haut risque
- Nommer un DPD si nécessaire
- Saisissez les APD avec tous les processeurs
Responsabilités des transformateurs
- Traitement des données uniquement sur les instructions documentées du contrôleur
- Tenue de registres des catégories de traitement
- Mettre en œuvre des mesures de sécurité appropriées
- Aviser le responsable du traitement des violations de données sans retard excessif
- Ne pas engager de sous-processeurs sans autorisation du contrôleur
- Supprimer ou retourner les données à la fin du service
- Aide au contrôleur pour les demandes de droits de sujet
- Mettre les informations sur la conformité à la disposition du contrôleur
Contrôleurs communs
Deux ou plusieurs organisations peuvent être des contrôleurs conjoints lorsqu'elles déterminent conjointement les finalités et les moyens de traitement. Cela est courant dans les partenariats d'affaires, les sociétés de groupe partageant des données de RH ou des plateformes et leurs partenaires commerciaux co-décidant la façon dont les données des utilisateurs sont utilisées. Les contrôleurs communs doivent disposer d'un arrangement transparent définissant leurs responsabilités respectives — et les personnes concernées doivent être informées de l'essence de cet arrangement.
Accords de traitement des données
Lorsqu'un contrôleur engage un processeur, un accord écrit de traitement des données est obligatoire en vertu de l'article 28. Le DPA doit préciser:
- Objet, durée, nature et objet du traitement
- Type de données à caractère personnel et catégories de personnes concernées
- Obligations et droits du responsable du traitement
- Que le processeur n'agit que sur des instructions documentées
- Obligations de confidentialité pour le personnel du processeur
- Mesures de sécurité requises
- Règles de sous-traitement
- Obligations d'assistance pour les audits et les demandes de droits
- Suppression/retour des données en fin de service
Une plateforme SaaS est-elle toujours un processeur ?
En général, oui. Si vous utilisez une plateforme SaaS pour stocker ou traiter des données client, le fournisseur de plateforme est généralement un processeur agissant sur vos instructions. La plate-forme décide de l'infrastructure technique; vous avez décidé de conserver ces données clientes en premier lieu.
Un processeur peut-il devenir un contrôleur ?
Oui — si un processeur commence à prendre des décisions sur les données de manière indépendante (par exemple, en utilisant les données du client pour leur propre analyse ou marketing sans instruction du contrôleur), il devient un contrôleur pour ce traitement supplémentaire. Il s'agit d'une violation de l'APD et crée une responsabilité indépendante du RGPD.
HubSecure traite vos données client comme votre processeur
Notre DPA couvre toutes les données traitées par la plate-forme HubSecure . Une infrastructure à Singapour, des instructions documentées et des pistes de vérification complètes sont prêtes à être examinées par votre équipe de conformité.
Voir notre DPAExamen des équipes réglementées
Préparé par l'équipe de rédaction HubSecure à l'intention des exploitants, des responsables de la conformité et des examinateurs de TI qui évaluent les logiciels d'exploitation sécurisés des clients.
Auteurs · évaluateurs · Politique éditoriale