Activités de traitement
Une activité de traitement est une finalité pour laquelle des données personnelles sont traitées : paie, newsletter, vidéosurveillance du parking, recrutement. Le registre est la liste de ces activités, et chacune porte les informations que demande l'article 30 — finalité, base juridique, données, personnes concernées, conservation, destinataires, transferts, sécurité.
Les activités sont créées et modifiées depuis le tableau de bord en mode édition, par les administrateurs. En mode visualisation, tous les membres peuvent les lire.
Actives et inactives
Une activité est soit active — elle fait partie du registre officiel, s'affiche sur le tableau de bord et s'imprime dans les documents — soit inactive : un brouillon pas encore terminé, ou un traitement qui a cessé et que l'on conserve pour mémoire.
- Une nouvelle activité commence toujours inactive.
- Elle ne peut être activée qu'une fois tous les champs obligatoires remplis, de sorte qu'une entrée inachevée n'atteint jamais votre registre officiel.
- Une activité dont la date d'expiration est passée est désactivée automatiquement.
- Seule une activité inactive sans modifications en attente peut être supprimée.
Les activités inactives sont masquées par défaut ; Afficher les activités inactives, dans la barre latérale, les révèle.
N'essayez pas de lister toutes les activités dès le premier jour. Saisissez les cinq ou six évidentes — paie, fichier clients, site web, newsletter —, activez-les et produisez un premier document. Un registre qui existe et grandit vaut plus qu'un registre parfait encore en cours de planification.
Valeurs par défaut des nouvelles activités
Si la plupart de vos activités partagent les mêmes réponses — les mêmes mesures de sécurité, la même règle de conservation, la même origine —, définissez-les une fois sous Paramètres de l'organisation → Valeurs par défaut des nouvelles activités. Chaque nouvelle activité est préremplie avec ces valeurs, et vous ne changez que ce qui diffère.
Les documents que vous obtenez de chaque activité
Dès qu'une activité est active, l'application rédige pour elle deux documents prêts à l'emploi, dans chaque langue du registre — sans travail supplémentaire de votre part :
- la déclaration de l'art. 30 — ce que vous remettez à l'autorité de contrôle si elle interroge ce traitement. Ouvrez-la dans le navigateur ou téléchargez-la en PDF ou RTF ;
- la clause d'information de l'art. 13 — ce que vous montrez aux personnes dont vous traitez les données. Elle a un lien permanent et un extrait à intégrer, pour la référencer depuis une politique de confidentialité, un formulaire de consentement ou une page web en affichant toujours le texte en vigueur.
Vous trouverez les deux documents sur la page de l'activité elle-même, où vous pouvez aussi copier leurs liens et extraits d'intégration.
Chaque document a aussi une adresse prévisible en dehors de l'application, construite à partir de l'adresse de votre organisation et du numéro de l'activité — https://{nom-court}.rat.gd/{langue}/{numéro-d-activité} pour la clause d'information, avec ?type=activity-declaration ajouté pour la déclaration — de sorte qu'elle peut être imprimée sur un formulaire, citée dans un contrat ou liée depuis un site web.
La clause d'information est toujours accessible ainsi, parce qu'elle existe pour être lue par des personnes qui ne sont pas membres. La déclaration n'est accessible à tous que si l'organisation est configurée comme publique ; pour une organisation privée, elle n'est montrée qu'aux membres.
Les deux documents sont livrés avec une mise en page par défaut raisonnable ; si vous préférez qu'ils portent votre propre rédaction, structure ou logo, c'est à cela que servent les modèles.
Ce que contient une activité de traitement
| Finalité et détails | Une ligne disant à quoi sert le traitement, et autant d'explications qu'un auditeur en aurait besoin |
| Base juridique | Consentement, contrat, obligation légale, intérêts vitaux, intérêt public ou intérêt légitime, avec un détail en texte libre. Les activités qui touchent à des catégories particulières de données (santé, biométrie, convictions, appartenance syndicale…) ont aussi besoin d'un des fondements de l'article 9 |
| Catégories de données | Identification, caractéristiques personnelles, données financières, professionnelles, situation sociale, données commerciales — et les catégories particulières |
| Catégories de personnes concernées | De qui sont les données : salariés, clients, candidats, visiteurs… |
| Catégories d'activités | Ce qui est fait des données : collecte, stockage, communication, diffusion, effacement… |
| Origine des données | D'où viennent les données |
| Conservation | Combien de temps les données sont conservées et la règle qui le décide |
| Communications de données | Qui reçoit les données, avec un détail en texte libre |
| Responsables et sous-traitants | Les partenaires impliqués et leurs rôles |
| Profilage | Oui ou non |
| Transferts internationaux | Oui ou non, avec le détail de la destination et de la garantie applicable |
| Niveau de sécurité et mesures | Risque faible, moyen ou élevé, et les mesures supplémentaires en place |