Quand une analyse d'impact est-elle obligatoire ?

Introduction

L’analyse d’impact n’est pas une formalité générale : elle vise les traitements présentant un risque élevé. Savoir si l’on en relève constitue déjà une étape de la démarche.

Le critère général

Une analyse est requise lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

Le risque s’apprécie au regard de la nature, de la portée, du contexte et des finalités du traitement.

Les trois cas expressément visés

L’évaluation systématique et approfondie d’aspects personnels concernant des personnes physiques, fondée sur un traitement automatisé, y compris le profilage, et servant de base à des décisions produisant des effets juridiques ou affectant de manière significative.

Le traitement à grande échelle de catégories particulières de données, ou de données relatives à des condamnations pénales et infractions.

La surveillance systématique à grande échelle d’une zone accessible au public.

Les listes de la CNIL

L’autorité publie une liste des types d’opérations pour lesquelles une analyse est requise, ainsi qu’une liste de ceux pour lesquels elle ne l’est pas.

Ces listes précisent utilement le critère général et doivent être consultées lors de la qualification.

En pratique, les traitements de données de santé, les dispositifs de surveillance des salariés, les traitements biométriques, les scores et profilages à effet significatif y figurent fréquemment.

La méthode d’appréciation

En dehors des cas expressément visés, une grille de critères permet d’apprécier le risque.

Évaluation ou notation, décision automatisée avec effet juridique, surveillance systématique, données sensibles ou à caractère hautement personnel, traitement à grande échelle, croisement de données, personnes vulnérables, usage innovant, exclusion du bénéfice d’un droit ou d’un contrat.

La réunion de plusieurs de ces critères oriente vers la réalisation d’une analyse.

Le contenu

L’analyse comporte une description systématique du traitement et de ses finalités, y compris l’intérêt légitime poursuivi le cas échéant.

Une évaluation de la nécessité et de la proportionnalité du traitement au regard des finalités.

Une évaluation des risques pour les droits et libertés des personnes concernées.

Les mesures envisagées pour faire face aux risques, y compris les garanties, mesures de sécurité et mécanismes visant à assurer la protection des données et à démontrer la conformité.

L’avis du délégué à la protection des données doit être recueilli lorsqu’il en existe un.

Le moment

L’analyse doit être menée avant la mise en œuvre du traitement, au stade de la conception.

Réalisée après le déploiement, elle perd son objet : elle ne permet plus d’ajuster le traitement, seulement de constater les risques.

Elle doit être réexaminée lorsque le risque évolue, notamment en cas de changement d’outil, d’extension des finalités ou d’augmentation significative du volume.

La consultation préalable

Lorsque l’analyse indique que le traitement présenterait un risque élevé si le responsable ne prenait pas de mesures pour l’atténuer, celui-ci consulte l’autorité de contrôle préalablement au traitement.

Cette consultation suspend en pratique la mise en œuvre, l’autorité disposant d’un délai pour rendre son avis.

Elle demeure rare : la plupart des analyses aboutissent à des mesures d’atténuation ramenant le risque à un niveau acceptable.

L’intérêt au-delà de l’obligation

Même non obligatoire, l’analyse constitue un outil de conception.

Elle oblige à documenter la nécessité et la proportionnalité, exercice qui révèle fréquemment des collectes excessives ou des durées injustifiées.

Elle prépare la démonstration de conformité en cas de contrôle.

Analyser avant de déployer

Une analyse menée après coup ne protège personne. Notre expertise RGPD et protection des données personnelles conduit ces analyses.

En résumé

• L’obligation naît d’un risque élevé pour les droits et libertés des personnes.
• Trois cas expressément visés, complétés par les listes publiées par la CNIL.
• L’analyse décrit le traitement, évalue nécessité, proportionnalité et risques, et prévoit les mesures.
• Elle doit intervenir avant la mise en œuvre, au stade de la conception.
• Un risque résiduel élevé impose une consultation préalable de la CNIL.