GDPR – Évaluation d’impact sur la vie privée

L’instrument pour une évaluation d’impact sur la vie privée (PIA) ou une évaluation d’impact sur la protection des données (DPIA) a été introduit avec le Règlement Général sur la Protection des Données (art. 35 du RGPD). Cela concerne l’obligation du responsable du traitement de réaliser une évaluation d’impact et de la documenter avant de commencer le traitement de données envisagé. On peut regrouper l’évaluation pour plusieurs procédures de traitement.

Fondamentalement, une analyse d’impact relative à la protection des données doit toujours être menée lorsque le traitement pourrait entraîner un risque élevé pour les droits et libertés des personnes physiques. L’évaluation doit être effectuée notamment si l’un des exemples de règles énoncés à l’art. 35(3) du RGPD est pertinent. Afin de préciser le libellé ouvert de la loi concernant l’obligation de base de réaliser une analyse d’impact sur la vie privée, les autorités de contrôle sont impliquées. Dans une première ébauche, le Groupe de travail Article 29 a créé un catalogue de dix critères indiquant que le traitement présente un risque élevé pour les droits et libertés d’une personne physique. Il s’agit par exemple du scoring/profilage, des décisions automatiques entraînant des conséquences juridiques pour les personnes concernées, de la surveillance systématique, du traitement de données personnelles spéciales, des données traitées à grande échelle, de la fusion ou de la combinaison de données collectées par divers processus, des données concernant des personnes incapables ou ayant une capacité d’action limitée, de l’utilisation de technologies nouvelles ou de procédures biométriques, du transfert de données vers des pays en dehors de l’UE/EEE et du traitement de données empêchant les personnes concernées d’exercer leurs droits. Une analyse d’impact sur la vie privée n’est pas absolument nécessaire si une opération de traitement ne remplit qu’un de ces critères. Cependant, si plusieurs critères sont remplis, le risque pour les personnes concernées est censé être élevé et une analyse d’impact relative à la protection des données est toujours requise. En cas de doute et s’il est difficile de déterminer un risque élevé, une analyse DPIA doit néanmoins être réalisée. Ce processus doit être répété au moins tous les trois ans.

En outre, les autorités de contrôle nationales doivent établir et publier une liste d’opérations de traitement qui nécessitent toujours une analyse d’impact relative à la protection des données dans leur juridiction (liste positive). Elles sont également libres de publier une liste d’activités de traitement qui ne nécessitent pas spécifiquement une analyse d’impact sur la vie privée (liste négative). Si une entreprise a désigné un délégué à la protection des données, son avis doit être pris en compte lors de la réalisation d’une AIPD. Comment et selon quels critères les conséquences et les risques pour les personnes concernées sont évalués, restent en grande partie sans réponse. Les premiers modèles ont été guidés par les schémas d’inspection des normes ISO ou le Modèle de Protection des Données Standard.