20200218_NP_SGA-DAJ_Instruction RGPD du 31 janvier 2020.pdf — page 26

26 
 
destinataire des données peuvent également permettre d’apporter les garanties suffisantes 
nécessaires au transfert de données. 
 
Le responsable de traitement qui envisage un transfert de données hors de l’Union européenne 
l’indique dans son registre, dans le champ correspondant. Il saisit obligatoirement le DPD. 
 
VIII. LES FICHIERS SOUMIS A DES FORMALITES PREALABLES AUPRES DE LA CNIL. 
 
Trois catégories de traitement de données sont particulièrement concernées par le maintien de 
formalités préalables auprès de la CNIL : les traitements de données de santé, les traitements de 
données biométriques ou génétiques mis en œuvre par l’Etat aux fins d’authentification des personnes 
et les traitements qui intéressent la sûreté de l’Etat au sens de l’article 31 de la loi « informatique et 
libertés » (fichiers de souveraineté)66 ou portent exclusivement sur des unités couvertes par 
l’anonymat. 
Le responsable de traitement saisit obligatoirement la DAJ lorsqu'il envisage de mettre en 
œuvre de tels traitements. 
 
CHAPITRE IV 
 
CONTROLES ET SANCTIONS 
 
I. LES CONTRÔLES INTERNES. 
 
1.1 Les contrôles du responsable de traitement. 
 
Le responsable de traitement s’assure de la conformité des traitements qu’il met en œuvre vis-à-vis des 
dispositions du RGPD. Il peut à ce titre, dans le cadre de la mise en œuvre du contrôle interne, du 
ressort de chaque EMDS du ministère67, mener des audits internes qui lui permettent d’évaluer sa 
conformité par rapport aux recommandations émises par le DPD (cf. point suivant).  
 
Le responsable de traitement doit être en mesure de démontrer la conformité des traitements qu’il met 
en œuvre aux dispositions du RGPD.  
Pour ce faire, il conserve dans un dossier associé à chaque traitement, l’ensemble des documents 
participant à la description du traitement, comprenant notamment : 
- 
la fiche de traitement dans Sicl@de ; 
- 
l’analyse d’impact si elle a été réalisée (ou les éléments justifiant la décision du responsable de 
traitement de ne pas réaliser d’analyse d’impact pour son traitement) ; 
- 
les documents relatifs à la mise en œuvre des droits des personnes ; 
- 
la documentation relative à la sous-traitance. 
 
1.2 Les contrôles du DPD. 
 
Le DPD est chargé de veiller au respect du règlement européen et aux dispositions de droit national en 
matière de protection des données par le responsable de traitement.  
 
Il émet à ce titre des recommandations à destination du responsable de traitement. Les 
recommandations du DPD peuvent être émises à titre individuel, vers le responsable de traitement 
concerné ou elles peuvent être diffusées de manière plus générale à l’ensemble des responsables de 
traitement du ministère et à son réseau de représentants. 
                                                          
66 Les traitements de données de santé sont soumis aux articles 64 et suivants de la loi « informatiques et libertés » ; à ce titre, 
ils doivent faire l’objet d’une demande d’autorisation auprès de la CNIL.  
Les traitements qui intéressent la sûreté de l’Etat ou qui portentt exclusivement sur des unités couvertes par l’anonymat ainsi 
que les traitements de données biométriques doivent être soumis pour avis à la CNIL et faire l'objet d'un acte réglementaire, 
conformément aux dispositions des articles 31 et 32 de la loi « informatique et libertés. 
67 Conformément aux textes d’organisation des EMDS.