20200218_NP_SGA-DAJ_Instruction RGPD du 31 janvier 2020.pdf — page 19

19 
 
peuvent cependant émettre des recommandations quant aux modalités de mise en œuvre du traitement, 
proposant notamment des mesures permettant de réduire le risque engendré par le traitement. 
 
2.3.2 Sanctions.  
 
Les manquements à l’obligation de réaliser une analyse d’impact, la mauvaise exécution de celle-ci ou 
le défaut de consultation de la commission en cas de risque élevé révélé par l’analyse sont susceptibles 
d’être sanctionnés par la CNIL, qui peut notamment prononcer une limitation du traitement40.  
 
III. L’ENCADREMENT PAR UN ACTE REGLEMENTAIRE 
 
Tout traitement de données à caractère personnel est créé par un arrêté publié au Journal officiel de la 
République française et signé par le responsable de traitement. A titre dérogatoire, certains traitements 
peuvent être exclus de l’obligation d’élaborer un arrêté41 (par exemple : gestion des comptes et accès 
informatiques, gestion du courrier et des dossiers). Les traitements intéressant la défense nationale ou 
la sûreté de l’Etat exclus du champ d’application du RGPD, font l’objet d’un décret en conseil d’Etat 
pris après avis de la CNIL, conformément à l’article 31 de la loi « informatique et libertés ». 
 
Le projet d’acte réglementaire est transmis pour avis au DPD en même temps que l’analyse d’impact 
sur la protection des données (voir II du chapitre III). Après validation du DPD, le représentant du 
responsable de traitement recueille la signature du RT et transmet cet arrêté à la direction des affaires 
juridiques qui se charge des formalités de publication au Journal officiel. 
 
IV. LA SECURISATION DES TRAITEMENTS. 
 
4.1 L’obligation générale de sécurité (art. 32 du RGPD). 
 
Le responsable de traitement doit mettre en œuvre les mesures techniques et organisationnelles 
appropriées afin de garantir un niveau de sécurité adapté au risque42. Le RGPD cite un certain 
nombre de mesures de sécurité que le responsable de traitement peut choisir de mettre en œuvre, sans 
que celles-ci ne soient rendues obligatoires (par exemple : pseudonymisation et chiffrement des 
données).  
 
Le responsable de traitement doit s’assurer de l’intégrité, de la disponibilité et de la confidentialité des 
données traitées. Il documente les mesures de sécurité qu’il met en œuvre pour chaque traitement de 
données :  
- 
par le biais du champ dédié dans le registre des traitements ; 
- 
dans l’analyse d’impact lorsque celle-ci est requise. 
 
En cas de contrôle des traitements réalisés par le DPD ou par la CNIL (cf. chapitre IV), les mesures de 
sécurité mises en place font l’objet de vérifications. 
 
Le choix des mesures de sécurité est déterminé par la sensibilité du traitement mis en œuvre et par la 
nature des données traitées. Au sein d’un même traitement, les mesures de sécurité mises en place 
peuvent être de nature différente en fonction des données. Le responsable d’un traitement contenant 
des données relatives à des personnels sous anonymat veille à la mise en place de mesures de sécurité 
adaptées en portant notamment une attention particulière à la gestion des droits et des profils d’accès 
au traitement. 
 
                                                          
40 Article 58 point 1° - f) du RGPD. 
41 La liste des traitements de données non soumis à publication est fixée par le guide du responsable de traitement, fiche n° 2.  
42 Article 32 du RGPD.