20200218_NP_SGA-DAJ_Instruction RGPD du 31 janvier 2020.pdf — page 16

16 
 
a) Le traitement s’applique à grande échelle : si le RGPD fait référence aux traitements de données à 
niveau national ou supranational, le G29 recommande aux responsables de traitement d’évaluer le 
champ d’application de ce critère en fonction du nombre de personnes concernées par le traitement, du 
volume de données traitées, de la permanence ou non de l’activité de traitement et de l’étendue 
géographique du traitement. La question de l’opportunité de réaliser une analyse d’impact peut se 
poser pour les traitements de données à caractère personnel concernant l’ensemble des agents du 
ministère, voire même une grande proportion d’entre eux, si le traitement comprend un volume 
important de données. 
 
b) Le traitement collecte des données sensibles. Les données sensibles sont celles mentionnées à 
l’article 9 du RGPD : données relatives à l’origine raciale ou ethnique des personnes, aux opinions 
politiques, philosophiques, religieuses ou syndicales, à la santé, à la vie sexuelle et à l’orientation 
sexuelle, aux données biométriques et génétiques. Par principe, ces données ne peuvent faire l’objet 
d’un traitement. Cependant, le traitement de données sensibles entrant dans le cadre d’une dérogation 
peut justifier la réalisation d’une analyse d’impact. 
 
Nota : par ailleurs, le G29 considère que la présence de certaines données dans un traitement peut 
également justifier la réalisation d’une analyse d’impact, bien qu’il ne s’agisse pas de données 
sensibles au sens des textes. Il peut s’agir de données telles que des données financières, des données 
de localisation ou des données relatives à la vie personnelle des individus (le G29 cite à ce titre les 
correspondances privées). La mise en place d’outils de géolocalisation au ministère peut entrer dans le 
champ d’application de ce critère. Il en va de même pour certains traitements qui font usage des 
données bancaires des agents. 
 
Concernant les correspondances privées, bien que la messagerie professionnelle puisse faire l’objet 
d’une utilisation ponctuelle à des fins personnelles (cf. code de bon usage des SIC, référence en 
annexe), les messages échangés bénéficient d’une présomption de professionnalité selon la 
jurisprudence. Par ailleurs, la mise en œuvre des messageries au ministère n’est pas considérée comme 
constituant un traitement de données à caractère personnel. Ainsi, les correspondances privées utilisant 
les messageries professionnelles des agents du ministère n’entrent pas dans le champ d’application de 
ce critère. 
 
c) Le traitement engendre des croisements ou des combinaisons de données, pour des finalités 
différentes : les traitements mis en œuvre au ministère donnant lieu à de nombreuses interconnexions 
peuvent entrer dans le champ d’application de ce critère.  
 
d)  Le traitement met en œuvre une surveillance systématique des individus : les lignes directrices du 
G29 font référence à la collecte de données via les réseaux ou dans les lieux publics, sans que la 
personne concernée n’en soit informée. Les traitements de gestion de logs ou les systèmes de 
vidéosurveillance mis en œuvre au ministère de la défense sont portés au préalable à la connaissance 
des agents, via le code de bon usage des SIC, publié au Bulletin officiel des armées pour la gestion des 
logs et par la mise en place d’un affichage pour les systèmes de vidéosurveillance. Ainsi, ces 
traitements n’entrent pas, de fait, dans le champ d’application de ce critère. 
 
e) Le traitement concerne des personnes vulnérables : si le RGPD fait référence à des traitements de 
données concernant des enfants, les lignes directrices du G29 évoquent, à titre de personnes 
vulnérables, les personnes âgées, les personnes déficientes et les employés. La CNIL fait également 
référence, dans certaines de ses publications, aux employés comme étant des personnes vulnérables. 
Au ministère, les personnels protégés par l’anonymat sont considérées comme faisant partie des 
personnes vulnérables : la présence, dans un traitement, de données les concernant justifie la 
réalisation d’une analyse d’impact36. 
 
                                                          
36 Cf. guide du responsable de traitement, fiche n° 2 sur les analyses d’impact et les actes règlementaires.