RGPD – Accompagnement de la CNIL pendant la période transitoire

La CNIL annonce également la publication prochaine de deux listes relatives aux analyses d’impact : une première liste de traitements pour lesquels une analyse d’impact RGPD sera obligatoire, et une seconde liste de traitements ne nécessitant pas une telle analyse. Ces outils doivent permettre aux organismes d’identifier les traitements de données personnelles présentant un risque élevé et de prioriser leurs actions de conformité.

S’agissant de sa politique de contrôle, la CNIL indique qu’elle continuera à vérifier de manière rigoureuse le respect des principes fondamentaux de la protection des données personnelles, qui demeurent pour l’essentiel inchangés. En revanche, pour les nouvelles obligations et les nouveaux droits issus du RGPD, les organismes de bonne foi, engagés dans une démarche de conformité et coopérant avec la CNIL, ne devraient pas, dans les premiers mois, faire l’objet de sanctions sur ces points.

Enfin, la CNIL précise que les formalités préalables encore en cours d’instruction au 25 mai 2018 ne pourront pas être traitées. Les responsables de traitement sont donc invités à privilégier la mise en conformité RGPD, notamment par la tenue du registre des traitements et, lorsque cela est nécessaire, par la réalisation d’une analyse d’impact. Pour les traitements déjà en cours et ayant fait l’objet de formalités ou inscrits dans le registre du Correspondant Informatique et Libertés (CIL), l’analyse d’impact n’est pas exigée immédiatement. Toutefois, pour les traitements susceptibles de présenter un risque élevé, elle devra être réalisée dans un délai raisonnable, que la CNIL estime à trois ans à compter du 25 mai 2018.