20200218_NP_SGA-DAJ_Instruction RGPD du 31 janvier 2020.pdf — page 27

27 
 
 
Le DPD s’assure de la conformité des traitements par le biais du registre : celui-ci lui permet 
d’identifier les traitements présentant un risque particulier pour les droits et libertés des personnes et 
de vérifier la mise en œuvre des mesures adéquates (notamment : mise en place des mesures de 
sécurité nécessaires, réalisation d’une analyse d’impact). 
 
La mise en œuvre des recommandations du DPD par le responsable de traitement peut faire l’objet de 
contrôles sur place, en vue d’améliorer la conformité des traitements du ministère, vis-à-vis des 
dispositions du RGPD. Ainsi, le DPD peut être amené à s’assurer, auprès du responsable de 
traitement :  
- 
de la tenue à jour du registre des activités de traitement ; 
- 
de la réalisation des analyses d’impact sur la protection des données lorsqu’elles sont 
nécessaires ; 
- 
de l’existence des documents relatifs à l’information des personnes (le cas échéant : modèle de 
recueil du consentement, preuve des consentements) ; 
- 
de l’existence des documents permettant de décrire les mesures de sécurité mises en œuvre sur 
le traitement ; 
- 
du respect des droits des personnes ; 
- 
de l’existence des documents qui définissent les rôles et les responsabilités des acteurs 
concernés :  
 procédure interne en cas de violation des données ; 
 procédure interne permettant de répondre aux demandes d’accès,  de rectification ou 
de suppression des données ; 
 procédure interne décrivant les modalités d’alimentation du registre des activités de 
traitement. 
 
En cas de contrôle sur place, réalisé par le DPD, la DGNUM peut être sollicitée et s’assure du respect, 
par le responsable de traitement, de la sécurité et de la confidentialité des données, en vérifiant la 
conformité et l’existence des moyens mis en œuvre, notamment :  
- 
les caractéristiques des applications (architecture des moyens techniques, langages utilisés) par 
rapport au cadre de cohérence technique du ministère (CCT) ; 
- 
le dossier de sécurité tenue par le RSSI et plus particulièrement la décision d’homologation, la 
date du dernier audit SSI et la mise en œuvre le cas échéant du plan d’action associé ;  
- 
la conformité des mesures organisationnelles et physiques mises en place au regard du dossier 
de sécurité et notamment l’existence des « procédures d’exploitation  de sécurité » (PES) ; 
- 
la conformité et la mise œuvre des moyens techniques permettant de garantir la confidentialité, 
l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de 
traitement ; 
- 
la conformité et la bonne application des mesures destinées à assurer la confidentialité des 
données lors des opérations de maintenance des équipements informatiques et des logiciels 
informatiques ; 
- 
les moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès 
à celles-ci dans des délais appropriés en cas d’incident physique ou technique ; 
- 
les procédures visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures 
techniques et organisationnelles pour assurer la sécurité du traitement ; 
- 
l’évaluation des pratiques et la mise en place de procédures concernant notamment les 
violations de données.