Actualité du RGPD : l’analyse d’impact

Le Règlement Européen de Protection des Données à caractère personnel (« RGPD »), entré en vigueur en mai 2018, prévoit un certain nombre d’obligations à la charge du responsable de traitement et/ou de son sous-traitant.
Parmi ces obligations, l’article 35 du RGPD dispose que : « Lorsqu’un type de traitement […] est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données à caractère personnel ».
Cette analyse d’impact (« AIPD ») se décompose en trois parties :
- une description détaillée du traitement mis en œuvre ;
- l’évaluation de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux (finalité, données et durées de conservation, information et droits des personnes, etc.) ;
- l’étude des risques sur la sécurité des données (confidentialité, intégrité et disponibilité) ainsi que leurs impacts potentiels sur la vie privée, permettant de déterminer les mesures techniques et organisationnelles nécessaires pour protéger les données.
Au mois de novembre 2018, la CNIL a adopté la liste des traitements pour lesquels une AIPD est obligatoire (ex : traitement utilisé pour la gestion d’une consultation de génétique dans un établissement de santé), sans que cette liste ne soit exhaustive.
Récemment, en septembre 2019, elle a également élaboré une liste de traitements pour lesquels elle n’estime pas nécessaire qu’une AIPD soit réalisée (ex : gestion de la paye). Celle-ci comporte douze types d’opérations de traitement pour lesquelles elle n’estime pas obligatoire de réaliser une AIPD. Pour autant, cette liste n’est pas non plus exhaustive.
Pour les traitements qui ne figurent sur aucune de ces deux listes, il convient de se rapporter aux lignes directrices élaborées par la CNIL permettant de déterminer si un traitement nécessite ou non une AIPD (Délibération CNIL n°2018-326 du 11 octobre 2018).