Analyse d’impact (AIPD) : quand est-elle obligatoire et comment la mener ?

L’analyse d’impact relative à la protection des données (AIPD, ou DPIA en anglais) est une étude menée avant la mise en œuvre d’un traitement susceptible d’engendrer un risque élevé pour les personnes. Elle permet d’évaluer ce risque, puis de décider des mesures pour le réduire. Elle est obligatoire dans certains cas, et constitue une excellente pratique dans beaucoup d’autres.

Ce que dit l’article 35

Une AIPD est requise lorsqu’un traitement, en particulier par le recours à de nouvelles technologies, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Le texte cite trois cas où elle est toujours obligatoire :

• l’évaluation systématique et approfondie d’aspects personnels, fondée sur un traitement automatisé (dont le profilage), sur la base de laquelle sont prises des décisions produisant des effets juridiques ou significatifs ;
• le traitement à grande échelle de données sensibles (article 9) ou de données relatives aux condamnations pénales (article 10) ;
• la surveillance systématique à grande échelle d’une zone accessible au public.

Les neuf critères des lignes directrices européennes

Pour les autres traitements, les lignes directrices du groupe de travail « article 29 », reprises par le Comité européen de la protection des données, proposent neuf critères :

1. évaluation ou notation, y compris le profilage ;
2. décision automatisée produisant des effets juridiques ou similaires ;
3. surveillance systématique ;
4. données sensibles ou à caractère hautement personnel ;
5. données traitées à grande échelle ;
6. croisement ou combinaison d’ensembles de données ;
7. données concernant des personnes vulnérables (salariés, patients, enfants, personnes âgées…) ;
8. usage innovant ou application de nouvelles solutions technologiques ;
9. traitement qui empêche les personnes d’exercer un droit ou de bénéficier d’un service ou d’un contrat.

En règle générale, un traitement qui remplit au moins deux de ces critères doit faire l’objet d’une AIPD.

La liste de la CNIL

La CNIL a publié une liste des types de traitements pour lesquels une AIPD est requise (délibération n° 2018-327 du 11 octobre 2018, article 35.4 du RGPD). Elle vise notamment :

• les traitements de données de santé mis en œuvre par les établissements de santé ou médico-sociaux pour la prise en charge des personnes ;
• les traitements de données génétiques de personnes vulnérables ;
• les traitements établissant des profils de personnes à des fins de gestion des ressources humaines ;
• les traitements ayant pour finalité de surveiller de manière constante l’activité des salariés ;
• les traitements de gestion des alertes et des signalements professionnels ou sociaux ;
• les traitements de données biométriques aux fins de reconnaissance des personnes, lorsque des personnes vulnérables sont concernées ;
• les traitements de données de localisation à large échelle ;
• les traitements de profilage faisant appel à des données de provenance externe.

La CNIL a aussi publié une liste des traitements pour lesquels une AIPD n’est pas requise (délibération n° 2019-118 du 12 septembre 2019, article 35.5 du RGPD) : par exemple la gestion des ressources humaines d’une structure de moins de 250 salariés, hors profilage, ou la gestion des fournisseurs.

Le contenu d’une AIPD (article 35.7)

L’analyse comporte au moins :

1. une description systématique du traitement et de ses finalités, y compris l’intérêt légitime poursuivi le cas échéant ;
2. une évaluation de la nécessité et de la proportionnalité des opérations au regard des finalités ;
3. une évaluation des risques pour les droits et libertés des personnes ;
4. les mesures envisagées pour faire face aux risques : garanties, mesures de sécurité, mécanismes de protection.

La démarche, étape par étape

1. Délimiter le traitement : finalités, données, personnes, destinataires, durées, flux, supports.
2. Vérifier les principes : base légale, minimisation, durées, information, exercice des droits, sous-traitants, transferts.
3. Identifier les risques d’accès illégitime, de modification non désirée et de disparition des données ; évaluer leur gravité et leur vraisemblance.
4. Décider des mesures qui ramènent les risques à un niveau acceptable.
5. Valider : le responsable du traitement décide, après avoir recueilli l’avis du DPO s’il en a désigné un (article 35.2) et, le cas échéant, celui des personnes concernées ou de leurs représentants.
6. Consulter la CNIL si, malgré les mesures, le risque résiduel reste élevé (article 36).
7. Réexaminer l’analyse en cas de changement du traitement ou des risques.

La CNIL met gratuitement à disposition un logiciel, « PIA », qui guide la réalisation d’une analyse d’impact selon cette méthode.

Et dans le registre ?

Indiquer dans chaque fiche les critères de risque relevés et l’état de l’analyse (non requise, à mener, réalisée et sa date) permet de savoir, d’un coup d’œil, quels traitements exigent une AIPD et lesquels restent à traiter.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 35 et 36, EUR-Lex.
• Groupe de travail « article 29 », lignes directrices concernant l’analyse d’impact relative à la protection des données (WP 248 rév. 01), approuvées par le Comité européen de la protection des données.
• CNIL, délibérations n° 2018-327 du 11 octobre 2018 et n° 2019-118 du 12 septembre 2019 (listes des types d’opérations de traitement pour lesquelles une AIPD est requise ou non requise), et logiciel PIA, cnil.fr.