Formulaire de demande d'autorisation de traitement de données à caractère personnel

1 - Identification de la demande

Intitulé du traitement

Nature de la demande

Autorisation initiale Modification substantielle Renouvellement

Date prévisionnelle de mise en œuvre

Service, direction ou entité porteuse du projet

2 - Responsable du traitement

Identité du responsable

Personne morale privée Institution publique Personne physique Autre

Préciser

Dénomination sociale / Nom

Sigle

Forme juridique

Secteur d'activité

RCCM, si applicable

NIF, si applicable

Pays

Ville

Province

Téléphone Le numéro de téléphone doit inclure l'indicatif du pays (ex : +243…), soit au minimum 11 chiffres.

Email

Représentant légal : nom et fonction

Adresse complète du siège social

Si dossier présenté par un mandataire : identité, qualité, coordonnées et référence du mandat

3 - Nature de données, origine et personnes concernées

4 - Description du traitement et finalités

Description détaillée du traitement : opérations réalisées sur les données

Finalité principale : objectif principal poursuivi

Finalités secondaires, le cas échéant

Base légale : consentement, contrat, obligation légale, mission d’intérêt public, intérêts vitaux, intérêt légitime

Volume approximatif : classes de volume des personnes concernées

Fréquence : ponctuel, occasionnel, permanent ou temps réel

Système utilisé : nom du logiciel ou plateforme

Fournisseur : éditeur ou prestataire

Hébergement : pays, ville, prestataire

Type d’hébergement : interne, cloud privé, cloud public, hybride, etc.

Transfert international

Oui Non

AIPD : réalisée, non-applicable ou en cours

Niveau de risque : faible, moyen ou élevé

5 - Interconnexions, mises en relation et transferts envisagés

Existence d’une interconnexion : Oui / Non

Système ou organisme concerné : partenaire ou système

Finalité d’interconnexion

Catégories de données échangées

Base juridique : fondement autorisant l’échange

Pays concerné, si échange transfrontalier

Mesures de protection : sécurité et confidentialité

Observations : commentaires utiles

6 - Services habilités, accès directs et destinataires

Service responsable

Fonctions ayant accès : catégories de personnel habilité

Niveau d’accès : lecture, modification, administration

Destinataires internes

Destinataires externes

Finalité de communication

Base juridique de communication

7 - Information des personnes et exercice des droits

Canal d’information : site web, formulaire, contrat, SMS, email, application

Moment de l’information : avant, pendant ou après collecte

Droits garantis : accès, rectification, effacement, opposition, limitation, portabilité, retrait du consentement

Point de contact : service ou DPO

Délai de réponse prévu

Modalités pratiques : email, courrier, portail, guichet

Réclamations : mécanisme de gestion des plaintes

8 - Sécurité et confidentialité

Mesures de sécurité physique : contrôle d’accès locaux, vidéosurveillance, gardiennage

Mesures de sécurité logique : authentification, mots de passe, MFA

Gestion des habilitations : attribution et révocation des accès

Traçabilité et audit : journalisation et supervision

Chiffrement / pseudonymisation : mesures techniques appliquées

Sauvegarde et continuité : backups et PRA/PCA

Gestion des violations : notification, registre des incidents

Communication à des tiers : garanties contractuelles et techniques

Certification ou conformité

9 - Sous-traitance

Recours à un ou plusieurs sous-traitants : Oui / Non

Identification du sous-traitant : dénomination, pays, adresse, contact, site web

Nature des prestations confiées : hébergement, cloud, maintenance, sauvegarde, support, archivage, analyse, traitement, autres

Finalité du recours au sous-traitant

Catégories de données concernées traitées par le sous-traitant

Catégories de personnes concernées

Volume approximatif

Localisation des traitements : pays d’hébergement et de sauvegarde

Transfert international de données : Oui / Non

Préciser les pays destinataires et garanties applicables

Mesures de sécurité : chiffrement, MFA, journalisation, sauvegarde, PCA/PRA, gestion des incidents, certification

Encadrement contractuel : confidentialité, sécurité, limitation des finalités, audits, notification des violations, destruction ou restitution des données

Sous-traitance ultérieure : identification éventuelle

Observations complémentaires

10 - Durée de conservation et sort final des données

Catégorie de données	Finalité	Durée opérationnelle	Archivage intermédiaire	Fondement juridique

11 - Analyse d'impact relative à la protection des données (AIPD) - obligatoire

AIPD jointe au dossier

Oui Non

Date de réalisation ou mise à jour

Description synthétique du traitement

Risques élevés identifiés

Mesures d’atténuation retenues

Risque résiduel

Faible Moyen Élevé

Validation interne : nom, fonction et service

Avis du DPO ou point focal, si applicable

Formulaire AIPD

Cette section apparaît automatiquement lorsque le risque résiduel sélectionné (section 11) est Moyen ou Élevé. Elle reprend le contenu du formulaire AIPD afin d'éviter une soumission séparée.

Référence interne

Date

Version

Nature

Initiale Mise à jour Révision

Intitulé du traitement concerné

Référence du formulaire d'autorisation du traitement principal

Référence du formulaire d'autorisation de transfert

Service / entité pilote

Rédacteur / coordinateur de l'AIPD

Objet précis de l'analyse

Résumé synthétique du traitement évalué

Nécessité du traitement

Nécessité des données et opérations retenues

Proportionnalité du traitement

Mesures de minimisation et de limitation des usages

Alternatives moins intrusives examinées

Oui Non

Scénario de risque	Gravité	Vraisemblance	Niveau brut

Mesures organisationnelles existantes

Mesures techniques existantes

Mesures juridiques / contractuelles

Mesures relatives aux droits des personnes

Le traitement comporte-t-il un transfert international ?

Oui Non

Risques spécifiques liés au transfert

Mesures spécifiques de protection

Le traitement peut-il être mis en œuvre en l'état ?

Oui Oui, sous réserve de mesures complémentaires Non

Niveau de risque résiduel global

Faible Modéré Élevé Très élevé

Mesures complémentaires obligatoires avant mise en œuvre

Observation finale

Personne ayant conduit ou coordonné l'AIPD

Fonction / service

Date et validation hiérarchique

Avis du service juridique / conformité

Avis du délégué à la protection des données, s'il existe