CE – Projet de décret comportant la mise en œuvre de traitement relevant de la procédure prévue au b) du règlement (UE) n°2016/679 du 27 avril 2016 (RGPD) – Avis 395077

Décision

Autorité:

Conseil d'Etat

Numéro:

Avis 395077

Nom:

Projet de décret comportant la mise en œuvre de traitement relevant de la procédure prévue au b) du règlement (UE) n°2016/679 du 27 avril 2016 (RGPD)

Date:

3 juillet 2018

Pays:

France

Lien:

Cliquer ici

Contexte

Information non disponible.
Source: CNIL, Tables Informatique et Libertés v1.10

Apport(s)
Analyse d'impact (AIPD) - Traitement nécessaire à l’organisation d’un vote électronique (traitement à grande échelle de données sensibles) - Obligation - Nécessité de l'achever avant la mise en oeuvre du traitement Extrait(s) pertinent(s)Un traitement nécessaire à l’organisation d’un vote électronique pour l’élection des membres des chambres d’agriculture, eu égard, d’une part, à la nature des données collectées et analysées et, d’autre part, au fait que ces données portent sur un électorat d’environ trois millions de personnes, remplit les critères posés par le point b) du paragraphe 3 de l’article 35 du règlement (UE) n° 2016/679 du 27 avril 2016 (RGPD) pour caractériser les traitements à grande échelle de données sensibles. Par suite, sa mise en œuvre doit être précédée de l’analyse d’impact prévue par ces stipulations. Cette obligation d’effectuer une analyse d’impact est d’application immédiate et directe. Le paragraphe 4 du même article 35 dispose que : « L’autorité de contrôle établit et publie une liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise conformément au paragraphe 1. L’autorité de contrôle communique ces listes au comité visé à l’article 68 ». Toutefois, cette liste ne saurait être regardée comme une mesure nationale d’application nécessaire à l’entrée en vigueur de l’obligation faite au responsable du traitement d’effectuer une analyse d’impact qui découle directement du point b) du paragraphe 3 de l’article 35 du règlement. La circonstance que le responsable du traitement (le ministre de l’agriculture) n’ait pas, au moment où le Conseil d’État (section des travaux publics) a examiné un projet de décret comportant la mise en œuvre de traitements relevant de la procédure prévue au b) du paragraphe 3 de l’article 35 du règlement (UE) n° 2016/679 du 27 avril 2016 (RGPD), achevé l’analyse d’impact qui lui incombe ne faisait obstacle ni à cet examen, ni à ce que le Conseil d’État lui donnât un avis favorable, dès lors qu’en vertu du paragraphe 1 de cet article, cette analyse doit être effectuée « avant le traitement », c’est-à-dire avant la mise en œuvre concrète de celui-ci. Article(s) du RGPD Article 35 – Analyse d’impact relative à la protection des données Fait référence à Autres informations

Apport(s)

Analyse d'impact (AIPD) - Traitement nécessaire à l’organisation d’un vote électronique (traitement à grande échelle de données sensibles) - Obligation - Nécessité de l'achever avant la mise en oeuvre du traitement

Extrait(s) pertinent(s)Un traitement nécessaire à l’organisation d’un vote électronique pour l’élection des membres des chambres d’agriculture, eu égard, d’une part, à la nature des données collectées et analysées et, d’autre part, au fait que ces données portent sur un électorat d’environ trois millions de personnes, remplit les critères posés par le point b) du paragraphe 3 de l’article 35 du règlement (UE) n° 2016/679 du 27 avril 2016 (RGPD) pour caractériser les traitements à grande échelle de données sensibles.

Par suite, sa mise en œuvre doit être précédée de l’analyse d’impact prévue par ces stipulations. Cette obligation d’effectuer une analyse d’impact est d’application immédiate et directe. Le paragraphe 4 du même article 35 dispose que : « L’autorité de contrôle établit et publie une liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise conformément au paragraphe 1. L’autorité de contrôle communique ces listes au comité visé à l’article 68 ».

Toutefois, cette liste ne saurait être regardée comme une mesure nationale d’application nécessaire à l’entrée en vigueur de l’obligation faite au responsable du traitement d’effectuer une analyse d’impact qui découle directement du point b) du paragraphe 3 de l’article 35 du règlement. La circonstance que le responsable du traitement (le ministre de l’agriculture) n’ait pas, au moment où le Conseil d’État (section des travaux publics) a examiné un projet de décret comportant la mise en œuvre de traitements relevant de la procédure prévue au b) du paragraphe 3 de l’article 35 du règlement (UE) n° 2016/679 du 27 avril 2016 (RGPD), achevé l’analyse d’impact qui lui incombe ne faisait obstacle ni à cet examen, ni à ce que le Conseil d’État lui donnât un avis favorable, dès lors qu’en vertu du paragraphe 1 de cet article, cette analyse doit être effectuée « avant le traitement », c’est-à-dire avant la mise en œuvre concrète de celui-ci.
Article(s) du RGPD Article 35 – Analyse d’impact relative à la protection des données
Fait référence à
Autres informations

Références

Cette décision cite...

Cette décision est citée par...

Signaler une erreur / Faire une suggestion