20200218_NP_SGA-DAJ_Instruction RGPD du 31 janvier 2020.pdf — page 17

17 
 
Le critère du G29 est rempli dès lors qu’il existe un déséquilibre accru entre le responsable de 
traitement et la personne concernée par le traitement, de telle sorte que cette dernière pourrait avoir des 
difficultés à faire valoir ses droits, au titre du RGPD. Les agents du ministère ne se trouvent pas dans 
une position de subordination telle qu’ils puissent être considérés comme étant des personnes 
vulnérables au sens du RGPD. En effet, ils sont informés des traitements mis en œuvre sur leurs 
données et sont en mesure d’exercer les droits qui leur sont reconnus par les textes relatifs à la 
protection des données. Ainsi, ce critère n’est en principe pas rempli pour les traitements relatifs aux 
personnels du ministère de la défense. 
 
f) Le traitement consiste en l’évaluation ou la notation d’individus : ce critère fait référence au 
profilage, consistant à prédire le comportement des personnes, en particulier dans le domaine du 
marketing et de la consommation. Ainsi, les évaluations et notations réalisées par les ressources 
humaines et concourant à la gestion de la carrière des agents du ministère n’entrent pas 
systématiquement dans le champ d’application de ce critère. En effet, la notation des agents est 
encadrée de garanties posées par les procédures en place ; elle ne donne pas lieu à elle seule à une 
décision pouvant affecter la carrière des agents et elle est réalisée au cas par cas, sans faire appel à des 
processus automatisés qui se substitueraient à une décision humaine. 
 
g)  Le traitement consiste en une prise de décision automatisée avec effets juridiques : ce critère 
nécessite des éclaircissements de la part du G29. Les traitements mis en œuvre au ministère de la 
défense aux fins de l’évaluation annuelle des agents, menée conformément aux processus de 
ressources humaines en place, n’entrent pas dans le champ d’application de ce critère (cf. point ci-
dessus concernant la notation des agents). 
 
h) Le traitement se livre à une utilisation innovante ou à l’application de nouvelles solutions 
technologiques ou organisationnelles : les lignes directrices du G29 citent à titre illustratif de ce 
critère l’Internet des objets ou l’utilisation de différentes technologies de reconnaissance biométrique. 
Les systèmes de reconnaissance biométrique mis en œuvre par l’Etat aux fins d’authentification des 
personnes restent soumis à l’accomplissement de formalités préalables auprès de la CNIL (cf. VIII du 
chapitre III). Néanmoins, ce critère peut être rempli en cas de conception ou d’utilisation d’autres 
types de technologies innovantes par les EMDS du ministère. Le responsable de traitement consulte 
le DPD en cas de mise en œuvre de ce type de traitement. 
 
i) Le traitement lui-même a pour but d’empêcher une personne d’avoir accès à un service ou de 
conclure un contrat : le G29 cite, à titre d’exemple, les traitements réalisés par les banques ayant 
vocation à accorder ou refuser un prêt à ses clients. Les traitements mis en œuvre au ministère de la 
défense étant fondés sur l’exécution de sa mission d’intérêt public, ils n’ont, pour la plupart, pas pour 
objet d’empêcher une personne d’avoir accès à un service ou de conclure un contrat. 
 
Il revient à chaque responsable de traitement de faire une étude au cas par cas pour déterminer la 
nécessité ou non de mener une analyse d'impact. Le responsable de traitement devra être en mesure de 
justifier son choix d’élaborer ou non une AIPD. S’il décide de ne pas en réaliser, il doit être en mesure 
de le justifier.  
 
Lorsque le responsable de traitement décide d'élaborer une analyse d'impact, il en informe le DPD. 
 
L’analyse n’est pas requise pour les traitements existant avant l'entrée en vigueur du RGPD et ayant 
fait l’objet d’une formalité préalable auprès de la CNIL. Ces traitements devront néanmoins être mis 
en conformité dans un délai de trois ans à compter du 25 mai 2018 (délai fixé par la CNIL). Il est 
conseillé au responsable de traitement de ne pas attendre l’expiration du délai de trois ans pour initier 
la réalisation des analyses d'impact.