Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re - 174

6
395. Comment se présentent les fiches de traitement
des données personnelles composant le
registre des activités de traitement ? - Afin d'être
en conformité avec le RGPD, les responsables de
traitement de données personnelles mais aussi leurs
sous-traitants sont dans l'obligation d'établir des fiches
de traitement des données personnelles pour chaque
activité de traitement. Elles sont mises au point en
concertation entre le DPO et la RH (si ce n'est pas un
membre de la RH qui est DPO) pour définir les conditions
de collectes, détention et utilisation des données
personnelles recueillies.
396. Chaque fiche aura tout intérêt à présenter les
rubriques communes suivantes en lien avec les obligations
de conformité instaurées par le RGPD et préconisées
par la CNIL :
* finalité du traitement (il s'agit de pouvoir indiquer l'objet
du traitement des données personnelles et ses fonctionnalités)
;
* identification des catégories de personnes concernées
par la collecte et le traitement des données ;
* catégories des données traitées (il s'agit ici, non seulement
de lister les différentes données traitées, mais
encore de signaler celles éventuellement identifiées
comme « sensibles ») ;
* identité des destinataires des données collectées
(il s'agit d'identifier ceux internes mais aussi, le
cas échéant, ceux externes et/ou les sous-traitants
concernés) ;
* éventualité ou non du transfert de données personnelles
en dehors de l'Union européenne ;
* base légale justifiant le traitement des données.
C. Réaliser une analyse d'impact relative
à la protection des données
397. Quand une analyse d'impact relative à la
protection des données doit-elle être réalisée ? -
L'analyse d'impact relative à la protection des données
174
est un mécanisme de conformité prévu à l'article 35
du RGPD Cette innovation majeure du règlement
oblige le Responsable de traitement à opérer l'étude
d'impact préalablement à un traitement de données
dès lors qu'un « type de traitement, en particulier par
le recours à de nouvelles technologies, et compte
tenu de la nature, de la portée, du contexte et des
finalités du traitement, est susceptible d'engendrer un
risque élevé pour les droits et libertés des personnes
physiques ».
Le responsable du traitement des données doit à cette
occasion demander conseil au Délégué à la protection
des données s'il a été désigné. L'article 35 du RGPD
signale que l'analyse d'impact relative à la protection
des données « est, en particulier requise » dans trois
situations qu'il énonce, laissant clairement entendre par
cette formulation que la liste des cas envisagés n'est pas
exhaustive et que chaque entreprise devra cartographier
les situations concrètes les concernant.
398. « L'évaluation systématique et approfondie d'aspects
personnels concernant des personnes physiques,
qui est fondée sur un traitement automatisé, y compris le
profilage, et sur la base de laquelle sont prises des décisions
produisant des effets juridiques à l'égard d'une
personne physique ou l'affectant de manière significative
de façon similaire ». Le traitement pourrait provoquer des
dommages matériels, physiques, moraux.
399. « Le traitement à grande échelle de catégories
particulières de données visées à l'article 9,
paragraphe 1, ou de données à caractère personnel
relatives à des condamnations pénales et à des infractions
visées à l'article 10 ». - L'article 9 § 1 indique :
« Le traitement des données à caractère personnel qui
révèle l'origine raciale ou ethnique, les opinions politiques,
les convictions religieuses ou philosophiques
ou l'appartenance syndicale, ainsi que le traitement
des données génétiques, des données biométriques
aux fins d'identifier une personne physique de manière
Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re

Table des matières de la publication Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re
