Ceci rentre dans la notion de privacy by design instituée par l'article 25 disposant que le responsable du traitement ( employeur ) : « met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que , par défaut , seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées » . Un cas concret pourrait se traduire par la vérification des logiciels utilisés dans le cadre de la gestion des ressources humaines , c'est-à-dire qu'ils offrent effectivement les fonctionnalités imposées par le RGPD telles que : . La possibilité de rectifier ou effacer des données inexactes , également de les supprimer de manière définitive . Garantir la sécurité des données ( ce a quoi avait failli l'employeur de la décision Morrisons ) . Pouvoir composer avec les demandes des salariés ( rectification , suppression , etc ) . Comment définir ses obligations ? À cette responsabilité de mise en œuvre s'ajoute l'article 35 faisant peser sur l'employeur l'obligation de procéder à une analyse d'impact relative à la protection des données qui vient remplacer les précédentes formalités de déclarations et d'autorisations faites auprès de la CNIL ( principe d'accountability ) . L'analyse d'impact n'est obligatoire que lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des salariés . La CNIL édicte une série de critères pour évaluer ce risque . De plus , l'autorité met également à disposition un logiciel d'analyse d'impact gratuit nommé PIA , ayant déjà fait l'objet d'un article . Le RGPD crée une obligation de tenue de registre pour l'employeur ( article 30 ) , obligatoire pour les entreprises de plus de 250 salariés . Les entreprises comptant moins de 250 salariés peuvent déroger à cette obligation à moins que le traitement soit susceptible de comporter un risque pour les droits et libertés des personnes . Dans les faits , il sera quasiment impossible d'échapper à la tenue de ce registre tant le champ des exceptions est réduit . Le registre doit être consultable par la CNIL à tout moment et son contenu est développé par ledit article . Il s'agit , en vérité , de cartographier l'ensemble des traitements effectués au sein de l'entreprise .