En bref
- Réglementation : RGPD.
- Administrations, opérateurs et établissements publics sont responsables de traitement.
- Fonder les traitements.
- Réaliser des AIPD.
- Encadrer les décisions automatisées.
- Des plafonds spécifiques peuvent s’appliquer aux organismes publics selon le droit national.
Échéances réglementaires
Les dates clés de cette réglementation.
Mai 2018
Entrée en application
En vigueurDe quoi parle RGPD ?
Le secteur public agit généralement sur le fondement d’une mission d’intérêt public ou d’une obligation légale. Les traitements sont massifs (état civil, social, fiscal) et parfois sensibles (santé publique).
Les décisions administratives automatisées sont encadrées : information et possibilité d’intervention humaine.
Le secteur « Secteur public » est-il concerné ?
Administrations, opérateurs et établissements publics sont responsables de traitement. L’échelle et la sensibilité élèvent le niveau d’exigence.
Le niveau local est traité dans la page « Collectivité ».
Obligations détaillées
Fonder les traitements
Identifier la base légale (mission d’intérêt public, obligation légale) et informer les usagers.
Réaliser des AIPD
Conduire les analyses d’impact pour les traitements à risque élevé.
Encadrer les décisions automatisées
Assurer information et intervention humaine pour les décisions administratives à effet significatif.
Maîtriser durées et sécurité
Appliquer des durées adaptées et une sécurité à la hauteur des enjeux.
Désigner un DPO
La désignation d’un délégué à la protection des données est obligatoire pour les organismes publics.
Sanctions & risques
Des plafonds spécifiques peuvent s’appliquer aux organismes publics selon le droit national. L’enjeu majeur est la confiance des citoyens.
Erreurs fréquentes dans le secteur
- 1Base légale floue. Ne pas rattacher les traitements à une mission clairement définie.
- 2AIPD omise. Ignorer l’analyse d’impact pour les traitements à risque.
- 3Décisions non encadrées. Automatiser des décisions sans garanties.
- 4DPO manquant. Ne pas désigner de DPO pourtant obligatoire.
Cas pratique
Un organisme public déploie une téléprocédure de demande d’aide. Il fonde le traitement sur sa mission d’intérêt public, informe les usagers, réalise une AIPD et prévoit une intervention humaine sur les décisions défavorables.
Feuille de route de mise en conformité
- 1
Cartographier. Recenser les traitements citoyens.
- 2
Qualifier. Vérifier bases légales et information.
- 3
AIPD. Réaliser les analyses nécessaires.
- 4
Sécuriser. Durées et sécurité adaptées.
- 5
DPO. Désigner et outiller le délégué.
Questions fréquentes
Oui : les autorités et organismes publics doivent désigner un DPO.
Passez à l'action sur RGPD
Diagnostic gratuit ou échange avec un expert dédié aux secteur public.
Ils nous font déjà confiance
Découvrez comment des organisations du secteur secteur public ont sécurisé leur conformité avec DCO.