L’analyse d’impact –AIPD-[1] est l’une des pierres fondamentales du RGPD[2] et de la nouvelle réglementation de protection des données personnelles, car elle conduit l’entreprise à mener une analyse intégrale des conséquences de ses traitements pour les personnes concernées, notamment en cas de dysfonctionnement, de fuite ou de corruption de leurs données. L’apparition de cette exigence dans le RGPD traduit la généralisation d’une approche « risk based », fondée sur la prévention des dommages plutôt que sur leur remédiation (ou indemnisation !) en cas de sinistre. Par Thomas Beaugrand, Cabinet Staub & Associés. 1ère Partie
Toutes les entreprises sont concernées, depuis les multinationales aux nombreux transferts transfrontaliers, jusqu’aux start-up spécialisées dans les nouvelles technologies data, en passant par de nombreux secteurs traditionnellement à risque (santé, assurance, enfants mineurs, etc.).
Pour une PME qui ne disposerait pas des ressources internes [3]pour mener de telles analyses et qui souhaiterait pas exemple mieux contrôler les risques liés à la messagerie électronique, comment par exemple identifier son engagement à l’AIPD, et comment peut elle correctement mener les analyses ? La réponse en 11 points clés et un exemple pratique que toute PME peut rencontrer.
- Comment mon entreprise peut-elle appréhender son éventuelle obligation d’exécuter une AIPD avant de mettre en œuvre un traitement de données personnelles?
Imaginons que vous ayez déjà désigné votre DPO et élaboré un registre de vos traitements. Vous décidez de mettre en œuvre une nouvelle stratégie (i) d’analyse automatique du flux des emails sortants, à des fins de détection d’éventuelles fuites d’information et, de plus, (ii) de surveillance et d’évaluation des salariés, capable de reporter lesdites fuites.
Vous allez donc mettre en œuvre un certain nombre de traitements automatisés de surveillance de flux et de contenus, comme c’est très souvent le cas dès lors que l’employeur fournit à ses personnels des outils de communications électroniques. Or, ces outils entraînent nécessairement la collecte et le traitement de nombreuses informations liées aux comportements de vos salariés.
-
Quand mon entreprise doit-elle mener l’AIPD ?
L’AIPD doit être réalisée au plus tôt de la conception de l’opération de traitement, et ce même si certains éléments du traitement ne sont pas encore connus. Dans ce cas l’AIPD sera actualisée et précisée au fur et à mesure du traitement. Et en toute hypothèse, l’AIPD doit être menée et finalisée avant la mise en œuvre effective du traitement.
D’ailleurs, si le traitement a été mis en œuvre avant l’entrée en application du RGPD et qu’aucune AIPD n’a été entreprise, le responsable du traitement doit l’interrompre, et engager l’AIPD avant de remettre en route le traitement en cause.
Il existe toutefois des tempéraments pour certains traitements qui avaient fait l’objet d’une autorisation par la CNIL avant l’entrée en vigueur du RGPD : si le traitement est resté totalement inchangé, n’implique ni nouvelle donnée, ni changement de finalité, alors l’AIPD peut être repoussée quelques temps. Mais le sujet ne doit surtout pas disparaître : tôt ou tard, le traitement qui nécessite une AIPD devra en faire l’objet. Lire la suite
[1] Les analyses d’impact préalable (AIPD) ou « études d’impact sur la vie privée (EIPV) » sont des outils de prévention, d’évaluation et de gestion des risques qu’une entreprise doit mettre en œuvre, lorsqu’elle est sur le point de réaliser un traitement de données personnelles qui est susceptible, selon le texte qui les impose, d’entrainer un risque pour les droits ou libertés fondamentales des personnes.
[2] l’article 35 du Règlement européen Général de Protection des Données 2016-679, entré en vigueur le 25 mai 2018, qui impose aux entreprises et organisations de mettre en œuvre une « analyse d’impact relative à la protection des données », lorsqu’un traitement « en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ».
[3] La CNIL, en France, a produit de nombreux outils très simples d’utilisation, dont un logiciel open source permettant de jouer des analyses d’impact en renseignant directement les caractéristiques des traitements de données et des dispositifs techniques utilisés pour les effectuer. La CNIL a également produit une documentation méthodologique abondante, à laquelle il est ici renvoyé.
