Analyse d'impact de données personnelles
Qui doit réaliser une analyse d'impact ?
L’analyse d’impact à la protection des données (AIPD) est vivement recommandée pour tous les acteurs traitant de données personnelles souhaitant évaluer et garantir de manière opérationnelle sa conformité au Règlement Général à la Protection des Données (RGPD).
Elle est cependant obligatoire pour quatorze types d’opérations de traitement, lesquels ont été recensés et ont fait l’objet d’une publication par la CNIL.
Si aucune opération de traitement ne correspond à celles recensées sur cette liste, une AIPD n’en demeure pas moins requise si les traitements réalisés sont susceptibles d’engendrer un risque élevé pour les droits et les libertés des personnes concernées.
Sur ce point, la CNIL indique que si le traitement remplit au moins deux des neuf critères suivants issus des lignes directrices du G29, une AIPD doit obligatoirement être réalisée :
- évaluation/scoring (y compris le profilage) ;
- décision automatique avec effet légal ou similaire ;
- surveillance systématique ;
- collecte de données sensibles ou données à caractère hautement personnel ;
- collecte de données personnelles à large échelle ;
- croisement de données ;
- personnes vulnérables (patients, personnes âgées, enfants, etc.) ;
- usage innovant (utilisation d’une nouvelle technologie) ;
- exclusion du bénéfice d’un droit/contrat.
Pourquoi faire une analyse d'impact ?
Des sanctions administratives et financières peuvent être prononcées à votre encontre si vous avez manqué à cette obligation, soit jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
Par ailleurs, reposant sur une logique de responsabilisation des acteurs traitants, le RGPD est façonné par le principe d’accountability.
Ce principe suppose que des mécanismes et des procédures internes permettant de démontrer le respect des règles relatives à la protection des données soient mis en place.
L’analyse d’impact à la protection des données est ainsi un moyen de répondre à ce principe, en démontrant le respect de règles imposées par le RGPD.
Le rôle de l'avocat
Bâtir un dispositif de conformité aux principes de protection de la vie privée, solide et évolutif, nécessite de faire appel à des compétences métier techniques différentes.
Il est impératif de garder à l’esprit qu’une analyse d’impact réussie procède d’un travail commun entre la maîtrise d’ouvrage, les opérationnels, la personne en charge des aspects relatifs à la protection des données au sein d’une structure et le délégué à la protection des données.
Il serait ainsi aventureux d’apprécier les risques relatifs à des atteintes potentielles à la vie privée en se passant des conseils d’un avocat détenant une expertise en matière de protection des données personnelles.
Et si nous prenions un café ensemble ?
Profitez d’un entretien téléphonique gratuit afin d’échanger sur l’analyse d’impact de données personnelles et la façon dont nos équipes peuvent vous accompagner dans sa réalisation.
