Le 25 mai 2021 mettra fin à la dispense accordée par la CNIL aux responsables de traitement concernant l’analyse d’impact relative à la protection des données (AIPD) qui sera désormais également obligatoire pour tous les traitements de données personnelles à risque mis en œuvre avant l’entrée en application du RGPD (mai 2018).
Pour en savoir plus :
Le RGPD prévoit en effet en son article 35 l’obligation pour un responsable de traitement de réaliser une analyse d’impact (appelée AIPD ou DPIA ou PIA) préalablement à la mise en œuvre d’un traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.
La CNIL avait accordé aux responsables de traitements une dispense de trois ans soit jusqu’au 25 mai 2021 pour réaliser une AIPD pour les traitements à risque mis en œuvre avant le RGPD qui avaient fait soit l’objet d’une formalité préalable auprès de la CNIL ou étaient dispensés de formalité à la CNIL soit qui étaient consignés dans le registre du Correspondant Informatique et Libertés (devenu DPO avec des pouvoirs renforcés), à la condition toutefois que ces traitements n’aient pas fait l’objet de modifications significatives.
Le délai de dispense étant expiré, une AIPD est requise pour tous les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques.
L’AIPD est en fait une analyse juridique et technique, conséquente, du traitement de données personnelles, à effectuer avant sa mise en œuvre et comportant au moins une description détaillée du traitement envisagé et des finalités du traitement, une évaluation de la nécessité et de la proportionnalité du traitement au regard des finalités, une évaluation des risques pour les droits et libertés des personnes concernées et enfin, les mesures envisagées pour faire face aux risques, y compris les garanties et mécanismes de sécurité visant à assurer la protection des données personnelles. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires. Cette analyse est un outil d’accountability permettant au responsable de traitement non seulement de se conformer au RGPD mais également de démontrer sa mise en conformité au RGPD.
La CNIL a publié sur son site internet www.cnil.fr une liste des types d’opérations de traitements pour lesquelles une analyse d’impact n’est pas obligatoire.
Elle a également publié une autre liste non exhaustive des types d’opérations de traitements pour lesquelles une analyse d’impact est requise. Ainsi, une AIPD est nécessaire si le traitement envisagé figure dans la liste précitée de la CNIL ou si le traitement comporte au moins 2 critères sur les 9 critères suivants (Cf. lignes directrices du G29 (devenu CEPD) adoptées le 4 octobre 2017) à savoir : l’évaluation/scoring (y compris le profilage) ; une prise de décision automatique avec effet légal ou similaire ; la surveillance systématique de personnes ; le traitement de données sensibles (exemple : santé, biométrie) ; le traitement de personnes vulnérables (patients, personnes âgées, enfants, etc.) ; le traitement de données personnelles à grande échelle ; le croisement d’ensembles de données ; les usages innovants ou l’application de nouvelles technologies ; l’exclusion du bénéfice d’un droit, d’un service, d’un contrat.
La CNIL met à la disposition des responsables de traitement notamment un logiciel PIA disponible sur son site internet et permettant de réaliser une AIPD. Elle a également précisé sur son site web en septembre 2020 que l'objectif de ses missions de contrôle est de vérifier le respect de la loi Informatique et Libertés et du RGPD et notamment de s'assurer d’une part, que le traitement de données personnelles mis en œuvre par un organisme ne porte pas atteinte aux droits et libertés des personnes concernées ; et d’autre part, de s'assurer que l’organisme contrôlé réponde au principe de responsabilisation impliquant notamment la mise en place d’un registre recensant les traitements mis en œuvre et en ayant effectué, lorsque c’est nécessaire, une analyse d’impact relative à la protection des données.
Rappelons que le défaut de réalisation d’une AIPD en cas de traitement à risque peut être sanctionné par la CNIL au titre du RGPD (art. 83.4) d’une amende pouvant s’élever à 10 millions euros ou, dans le cas d'une entreprise, à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
Le dernier rapport d’activité de la CNIL dont la publication est attendue très prochainement pourrait apporter de nouvelles précisions sur le sujet.
Vanessa Younès-Fellous, avocate en droit de la protection des données personnelles, formatrice Lefebvre Dalloz Compétences
Articles les plus lus
Articles les plus récents
Inscription à la newsletter
