20200218_NP_SGA-DAJ_Instruction RGPD du 31 janvier 2020.pdf — page 15

15 
 
Une notice est disponible dans Sicl@de, explicitant les champs du registre. Pour la plupart d’entre 
eux, des menus déroulants sont proposés. Le registre contient les éléments qui étaient portés à la 
connaissance de la CNIL par le biais des formalités préalables, avant l’entrée en vigueur du RGPD 
ainsi que des champs complémentaires, tenant compte des dispositions du RGPD.  
 
Ainsi, figurent dans le registre les éléments suivants :  
- 
identification du traitement 
 nom du traitement ; 
 responsable de traitement ; 
 finalités du traitement (voir II du chapitre I) ; 
 fondement juridique du traitement (voir II du chapitre I) ; 
 analyse d’impact (voir II du chapitre II) ; 
- 
description du traitement 
 catégories de personnes concernées par le traitement (catégories de personnes dont les 
données à caractère personnel figurent dans le traitement) ; 
 catégories de données traitées ; 
 catégories de données sensibles (voir I du chapitre I) ; 
 origine des données (provenance des données traitées) ; 
 destinataires des données (personnels ou catégories de personnels amenés à prendre 
connaissance des données traitées33) ; 
 durée de conservation des données (voir I du chapitre I) ;  
 modalités d’exercice des droits des personnes (voir V du chapitre III) ; 
 mesures de sécurité mises en place (voir IV du chapitre III) ; 
 interconnexion (transmission de données d’un traitement vers un autre traitement, 
potentiellement pour des finalités différentes) ; 
 sous-traitance (voir VI du chapitre III) ; 
 transferts de données hors de l’Union européenne (voir VII du chapitre III). 
 
 
II. LES ANALYSES D’IMPACT (art. 35 et 36 du RGPD). 
 
2.1 Les traitements concernés. 
 
Une analyse d’impact est obligatoire pour les traitements qui présentent une sensibilité particulière, 
soit un risque élevé pour les droits et libertés des personnes. 
 
 La CNIL a publié une liste de référence des catégories de traitements soumis obligatoirement à la 
réalisation d’une analyse d’impact34 et non soumis à analyse d’impact35.  
 
 Pour les traitements ne figurant pas dans les listes de référence de la CNIL, les responsables de 
traitement se réfèrent aux recommandations du DPD, ainsi qu’aux lignes directrices du G29 
(références en annexe), en utilisant les neuf critères proposés comme un faisceau d’indices 
susceptibles de mener à l’élaboration d’une analyse d’impact : si un traitement réunit deux des 
neuf critères proposés, l'élaboration d'une analyse d’impact est obligatoire.  
 
Les éléments d’interprétation ci-dessous sont donnés à titre indicatif.  
 
                                                          
33 Article 4 point 9 du RGPD : « la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui 
reçoit communication de données à caractère personnel, qu'il s'agisse ou non d'un tiers ». 
34 CNIL, délib., n° 2018-326 et n° 2018-327 du 11 oct. 2018, JO 6 nov. Les traitements concernés sont par exemple : les 
traitements établissant des profils de personnes physiques à des fins de gestion des ressources humaines, les traitements ayant 
pour finalité la gestion des alertes et des signalements en matière professionnelle. 
35 CNIL, délib., n° 2019-118 du 12 sept. 2019, JO 22 oct. Les traitements concernés sont par exemple : les traitements mis en 
œuvre aux seules fins de gestion des contrôles d'accès physiques et des horaires pour le calcul du temps de travail, en dehors 
de tout dispositif biométrique.