Considérant 95
Règlement général sur la protection des données · UE 2016/679
| (95) | Le sous-traitant devrait aider le responsable du traitement, si nécessaire et sur demande, à assurer le respect des obligations découlant de la réalisation des analyses d'impact relatives à la protection des données et de la consultation préalable de l'autorité de contrôle. |
Au Luxembourg, la consultation préalable visée à l'article 36 RGPD se fait auprès de la CNPD (et non APDL), qui a publié des lignes directrices sur les seuils d'AIPD applicables aux secteurs régulés (santé, finance, RH). La loi du 1er août 2018 portant organisation de la CNPD précise les pouvoirs d'enquête de l'autorité, qui peut exiger directement du sous-traitant établi au Luxembourg les éléments techniques nécessaires à l'instruction.
Pratique Luxgap : pour les acteurs CSSF, anticipez que la CNPD coordonne ses demandes avec la circulaire CSSF 22/806 sur les arrangements d'externalisation, ce qui démultiplie les pièces à produire en cas de consultation préalable.
