Protection des données personnelles (RGPD) : avant de traiter certaines données, une analyse d'impact est à faire

Si au moins deux de ces neuf critères sont réunis, il faudra faire une analyse d'impact.

Les neuf critères d’analyse d’impact

Dans quels cas n'est-il pas nécessaire de faire une analyse d'impact ?

• Lorsque le traitement figure dans la liste d'exemptions de la CNIL (à venir) ;
• lorsque le traitement envisagé ne réunit pas au moins deux des neuf critères évoqués ci-dessus ;
• lorsque le traitement est très similaire à un autre ayant déjà fait l'objet d'une analyse d'impact ;
• lorsque le traitement est réalisé en vertu d'une obligation légale ;
• lorsque le traitement a déjà été soumis à la CNIL (déclaration ou demande d'autorisation) et n'a pas changé depuis dans ses modalités d'exécution.

Qui doit faire l'analyse d'impact ?

Vous n'êtes pas obligé de la faire vous-même. Vous pouvez la confier à un tiers (avocats, experts en informatique, experts en sécurité...).

Si vous avez désigné un délégué à la protection des données (DPO), il peut vous orienter. Ses conseils figureront dans l'analyse.

Si vos traitements sont réalisés, en tout ou partie, par un prestataire (prestataires de services informatiques tels que l'hébergement ou la maintenance, intégrateurs de logiciels, sociétés de sécurité informatique, agences de marketing ou de communication...), celui-ci doit vous aider à réaliser l'analyse.
Vous devez demander l'avis des personnes concernées par le traitement ou de leurs représentants (institutions représentatives du personnel).
Cette consultation peut se faire par tout moyen (questionnaire, étude, enquête...).
Si vous ne procédez pas à la consultation (pour des raisons de confidentialité ou de sécurité, par exemple) ou si vous ne suivez pas l'avis des personnes consultées, vous devez le justifier.

Des outils ou modèles d'analyse d'impact sont-ils disponibles ?

Oui. La CNIL a élaboré un logiciel, intitulé PIA.

Que faire si l'analyse d'impact conclut à un risque élevé pour les droits des personnes ?

Il vous faudra consulter la CNIL et lui transmettre un dossier comprenant :

• l'analyse d'impact réalisée ;
• les différents acteurs du traitement envisagé (votre entreprise et vos prestataires) ;
• les finalités et moyens du traitement envisagé ;
• les mesures et garanties prévues afin de protéger les droits et libertés des personnes concernées ;
• s'il en a été nommé un, les coordonnées du DPO ³.

La CNIL aura huit semaines pour répondre à cette consultation (ce délai peut être prolongé de six semaines).
À l'issue du délai, elle rend un avis écrit et peut user des pouvoirs lui étant reconnus par le RGPD (interdiction, injonction).

Face à la complexité du RGPD, la CNIL a confirmé à la FFB qu’elle préparait une liste de traitements pour lesquels vous n’aurez en principe pas besoin de réaliser d’analyse d’impact.À suivre donc.