Accountability

Ce que ça change pour une organisation

L’article 5, paragraphe 2, rend le responsable de traitement responsable du respect des principes du paragraphe 1 (licéité, minimisation, sécurité, entre autres) et l’oblige à pouvoir le démontrer. L’article 24 en tire la conséquence : l’organisation met en œuvre des mesures techniques et organisationnelles appropriées, les réexamine si nécessaire et doit prouver la conformité de ses traitements. La charge de la preuve pèse donc sur elle, et non sur l’autorité de contrôle.

En pratique, cela suppose des documents tenus à jour et réellement appliqués : registre des traitements, analyses d’impact, contrats avec les sous-traitants, procédures de réponse aux demandes de droits et de gestion des violations, politiques de sécurité. La CNIL résume le principe comme l’obligation de mettre en œuvre des mécanismes et des procédures internes permettant de prouver le respect des règles.

Les manquements aux principes de l’article 5 relèvent du palier supérieur d’amendes : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (article 83, paragraphe 5).

Exemple

Rapportée par les médias le 15 juillet 2019, une intrusion dans le système informatique de l’Agence nationale des recettes publiques bulgare a conduit à la publication sur Internet de données personnelles concernant des millions de personnes. Le 14 décembre 2023 (affaire C-340/21), la Cour de justice de l’Union européenne a jugé que la seule survenue d’une fuite ne prouve pas que les mesures de protection étaient inappropriées, mais qu’il incombe au responsable du traitement de prouver qu’elles l’étaient ; il peut en outre devoir indemniser les personnes lésées, sauf à établir que le dommage ne lui est nullement imputable.

À ne pas confondre avec

• La conformité elle-même : respecter les règles et pouvoir le démontrer sont deux exigences distinctes.
• La responsabilité civile : l’accountability est une obligation préalable de preuve, tandis que la réparation d’un dommage relève d’un régime distinct (article 82).
• Le délégué à la protection des données : il conseille et contrôle (article 39), mais c’est le responsable qui doit démontrer sa conformité.