Registre de traitement - Créer une fiche et la remplir

En haut de votre formulaire, vous retrouvez les boutons suivants :

En haut à gauche :

• Le bouton Enregistrer qui vous permet d’enregistrer vos modifications à tout moment 

• Le bouton Fermer qui vous permet de fermer votre fiche de traitement (vous pourrez revenir dessus à tout moment, à condition d'avoir enregistrer vos modifications)

• Le bouton Plus d'actions qui vous permet de différentes actions sur votre fiche de traitement

En haut à droite :

• Le bouton Envoyer en qualification qui vous permet de passer le traitement à l’étape suivante

A gauche de votre formulaire, vous retrouvez un menu de navigation.  

Celui-ci vous permet notamment :  

• De voir votre progression d’avancement au fur et à mesure que vous complétez le formulaire ; 

• Sélectionner le type de formulaire que vous souhaitez faire :  

Data Comply One a établi un ensemble de modèles de traitements, générique et aussi en fonction des secteurs d’activités. Vous pouvez donc sélectionner ici un modèle de traitements qui correspond au vôtre, et Data Comply One pré-remplira votre formulaire. Vous n’aurez plus qu’à compléter et/ou adapter en fonction de vos besoins.  

Cela permet de disposer d'informations sur les caractéristiques de certains traitements de données personnelles.  

Si vous le souhaitez, vous avez également la possibilité de créer vos propres modèles de traitements. Pour cela, cliquez sur le bouton Créer. 

Titre : Nom de votre traitement 

Référence : ce champ est généré par Data Comply One. C’est l’identifiant unique de votre traitement. Vous pouvez notamment l’utiliser pour retrouver votre traitement depuis la barre de recherche, ou pour filtrer vos listes de traitement.  

Version du traitement (facultatif) :  

Permet de renseigner si le traitement a subi des modifications. 

Responsable de traitement :  

Organisation responsable du traitement, c'est l'entité juridique (personne morale) à laquelle est rattaché le traitement.

Rédaction :

Étape pendant laquelle l'utilisateur rédige la fiche en complétant les différents champs. Cette personne reçoit également les demandes modifications si le traitement doit être mis à jour.

Qualification :

C'est l'étape dédiée à la qualification du risque. L'utilisateur qui intervient à cette étape est généralement le DPO/référent RGPD. La personne lit ce qui a été rédigé en première étape puis évalue le risque associé au traitement. 

Validation :

Cette étape permet de relire la saisie faites aux deux étape précédente. L'utilisateur prend connaissance du risque puis valide ou refuse la fiche de traitement. Une fois la fiche validée, le traitement est en activité, ce qui signifie qu'il est d'actualité, c'est un traitement qui est toujours en cours tel qu'il a été décrit en étape de rédaction.

Population(s) visée(s) par le traitement :  

Typologie de population dont les données sont utilisées pour le traitement (exemple : salariés, clients, prospects, etc.)

Déclaration d’un traitement existant :  

Est-ce qu’il s’agit d’un nouveau traitement ou bien existe-t-il déjà ?

Date de mise en œuvre du traitement :  

A quelle date souhaitez-vous faire commencer le traitement ? La date renseignée peut être approximative. 

Co-traitants :  

Organisme qui détermine les objectifs du traitement conjointement avec le Responsable de traitement.

Base légale du traitement : 

Pour être légal, le traitement doit reposer sur une base légale :  

• Exécution d’un contrat : nécessaire dans le cadre d’un contrat. Par exemple l’utilisation de l’adresse postale pour livrer un bien. 

• Négociation d’un contrat : le cas visé ici est lors de l’intention de conclure un contrat  

• Obligation légale : l’obligation doit provenir d’une législation européenne ou bien d’un Etat membre. Ex : tenir à jour une liste des salariés présent dans l’entreprise  

• Intérêts vitaux d’une personne : le traitement sera licite lorsque l’intérêt vital d’une personne physique est en jeu. Ex : Les convocations médicales  

• L’exécution d’une mission d’intérêt public : le traitement relève de l’exercice de l’autorité publique. Ex : l’édition des passeports  

• Intérêts légitimes : traitement nécessaire aux fins des intérêts légitimes du Responsable de traitement à moins que ne prévalent les intérêts ou droits de la personne concernée. Ex : Mise en place d’une liste de mauvais payeurs. 

• Le consentement : il doit porter sur une ou plusieurs finalités spécifiques. Cela doit être un acte positif clair et univoque. C’est-à-dire que la personne à un comportement actif pour accepter le traitement.  

Le traitement répond-il à l’un ou plusieurs des critères suivants ? : 

Ces critères permettent de déterminer si une analyse d’impact sur la vie privée sera nécessaire avant la mise en œuvre du traitement.  

• Évaluation ou notation, y compris les activités de profilage : Le traitement porte sur le rendement d’une personne, ses préférences ou centre d’intérêt par exemple.  

• Prise de décision automatisée avec effet juridique : ce traitement pourrait par exemple entraîner l’exclusion ou une discrimination pour les personnes concernées.  

• Surveillance systématique : traitement utilisé pour observer ou surveiller les personnes concernées. La collecte est susceptible d’intervenir alors que les personnes concernées ne savent pas qui les collecte et dans quel objectifs leurs données sont récoltées. Ex : vidéosurveillance dans un lieu public. 

• Données sensibles ou données à caractère hautement personnel : il s’agit des données visées à l’article 9 du Règlement, les informations concernant la santé, la religion, les opinions politiques, les données relatives aux infractions ou condamnations pénales.  

• Données traitées à grande échelle : il faut prendre en compte le nombre de personnes concernées, soit en absolu soit par rapport à la proportion de la population considérée. L’étendue géographique peut également être prise en compte.  

• Croisement ou combinaison d’ensemble de données : données qui proviendraient de deux traitements distincts et qui outrepassent les attentes de la personnes concernées 

• Données concernant des personnes vulnérables : sont visés ici les personnes pour lesquelles un déséquilibre dans la relation avec le responsable de traitement peut être identifié. Par exemple les mineurs, les majeurs incapables, les patients… 

• Utilisation innovante ou application de nouvelles solutions technologiques ou organisationnelles : si la technologie en question peut impliquer de nouvelles formes de collecte ou bien d’utilisation des données par rapport à la pratique actuelle. Par exemple les nouveaux objets connectés peuvent avoir une utilisation innovante.  

• Le traitement en lui-même empêche les personnes concernées d’exercer un droit ou de bénéficier d’un service ou contrat : ce traitement concerne les opérations visant) autoriser, modifier ou refuser l’accès à un service ou bien la conclusion d’un contrat.  

Vidéosurveillance/Vidéoprotection d’un bâtiment 

Cette section permet de détailler l’utilisation des caméras dans le but de protéger un bâtiment notamment le nombre de caméras utilisées, si du son est enregistré, si des caches sont placés sur les caméras et la date de l’autorisation préfectorale le cas échéant.  

Finalités du traitement :  

Ce sont les objectifs poursuivis par le traitement.  

Sous-finalités du traitement :  

Actions qui résultent de l’objectif. Par exemple : élaboration de statistiques, création d’un compte utilisateur… 

Données concernées par le traitement :  

Il faut ici sélectionner les données utilisées dans le traitement. Puis cliquer sur le triangle noir, puis accéder. Il convient alors de sélectionner les descriptions des données, ainsi que la durée de conservation (un référentiel vous est proposé) et le mode de collecte. Le mode de collecte est la façon dont vous avez eu les données. Directe : les données ont été fourni par la personne via un formulaire par exemple. Indirecte : cela peut provenir d’un autre service.   

Sélectionner le service qui a la charge du traitement. Si deux services, ou plus, sont sélectionnés, un tableau apparaîtra pour préciser les catégories de données traitées par chaque service. 

Choix du support sur lequel le traitement est mis en place.  

Si le traitement est mis en œuvre via un logiciel il faudra alors remplir les informations sur l’éditeur 

Localisation des données :  

Est-ce que les données sont transmises ou accessibles depuis un territoire situé en dehors de l’Union Européenne ?  

Si oui, il faut alors sélectionner la, ou les, catégories de données qui sont transférées.  

Il faut ensuite les décrire et sélectionner le, ou les, pays où sont localisées les données. Si le pays n'apparaît pas dans la liste, sélectionnez "Autre(s) (préciser)". Il convient alors de préciser le pays et cocher s’il existe des garanties suffisantes pour un transfert hors UE.  

Enfin, il faut renseigner la finalité, et les éventuelles sous-finalités du transfert.  

 Destinataires internes :  

Ce sont les services de l’entité qui sont destinataires des données. Par exemple, la réception sur une boîte mail générique de CV, qui seront transférés aux Ressources Humaines. Le destinataire sera donc le service RH.  

Destinataires externes :  

Ce sont des services, organismes, qui sont destinataires de ces données. Par exemple, la Caisse d’assurance Maladie. S’il existe des destinataires externes il faudra alors le/les créer.  

Dans les deux cas, il faudra ensuite renseigner les données dont les destinataires, interne ou externe, sont susceptibles d’obtenir. Mais aussi préciser pourquoi ces destinataires ont accès aux données.   

Recours à un/des sous-traitant(s) :  

Au sens du RGPD, le sous-traitant est l’entité/organisme qui traite des données pour le compte sur instruction et sous l’autorité d’un responsable de traitement. Si oui, il faudra alors créer le sous-traitant avec ses informations. Il convient ensuite de créer un nouvel élément pour les données et de réitérer l’étape des destinataire(s) du traitement.  

Support(s) d’information concernant les droits des personnes concernées :  

Comment les personnes dont les données sont traitées ont-été informées de l’exercice de leurs droits ?  

Fonction de la personne ou du service auprès duquel s’exercent les droits des personnes concernées :  

Il convient de préciser la fonction de la personne ou bien le service qui gèrent les demandes de droit des personnes.  

Modalité d’exercice des droits des personnes concernées :  

Préciser la façon dont les personnes peuvent exercer leurs droits. Par exemple via mail, formulaire sur le site, par courrier postal… 

Cela permet de connaître le niveau de sécurité mis en place sur le traitement :  

• L’accès physique au traitement est protégé : par exemple pour des dossiers papiers, ils sont enfermés dans une armoire sécurisée. 

• Un procédé d’authentification des utilisateurs est mis en œuvre : un mot de passe et un nom d’utilisateur spécifique sont demandé pour accéder aux traitements. 

• Une journalisation des connexions est effectuée : les connexions sur le traitement sont recensées et il est possible de connaître précisément la date et l’heure d’accès.  

• Le traitement est réalisé sur un réseau interne dédié : uniquement les personnes autorisées peuvent accéder à ce réseau 

• Si les données sont échangées en réseau, le canal de transport ou les données sont chiffrées : un chiffrement des données est prévu 

• […] 

• Autre(s) : si une autre méthode est utilisée, renseigner le champ libre