Qu’est-ce qu’une AIPD dans le cadre du RGPD ?

Le responsable du traitement doit veiller à ce que l’AIPD soit effectuée (article 35(2)). Le travail peut être confié à quelqu’un d’autre, en interne ou à l’extérieur, mais le responsable du traitement en reste comptable.

Trois autres acteurs ont un rôle défini :

• Le délégué à la protection des données, s’il en a été désigné un. Le responsable du traitement doit demander son conseil, et les lignes directrices reprises par le CEPD précisent que ce conseil, ainsi que les décisions prises, doivent figurer dans l’AIPD. Voir un DPO peut-il être externe ?
• Les sous-traitants. Lorsqu’un sous-traitant effectue tout ou partie du traitement, il aide le responsable du traitement et lui fournit les informations nécessaires (article 28(3)(f)).
• Les personnes concernées ou leurs représentants. Le cas échéant, le responsable du traitement recueille leur avis (article 35(9)), par exemple au moyen d’une enquête ou d’une question aux représentants du personnel. S’il y renonce, ou s’il décide à l’encontre de cet avis, il documente pourquoi.

Avant le traitement (article 35(1)). Les lignes directrices recommandent de commencer le plus tôt possible dans la conception, même si certains éléments sont encore inconnus, puis de mettre l’analyse à jour au fil du projet. Le fait qu’une AIPD devra peut-être être actualisée après la mise en service ne justifie pas de la reporter.

L’AIPD est un processus continu, pas un exercice ponctuel. L’article 35(11) impose au responsable du traitement de vérifier que le traitement reste conforme à l’analyse, au moins lorsque le risque évolue : nouvelle technologie, nouvelle finalité, nouveaux destinataires ou nouvelle catégorie de personnes concernées. Les traitements existants sont aussi concernés lorsque leurs risques changent.

Le point de départ est en général le registre des activités de traitement : il décrit déjà la finalité, les données, les destinataires et les transferts que l’AIPD doit évaluer. Savoir si une activité exige une AIPD est traité dans quand une AIPD est-elle obligatoire ?

Si les mesures identifiées ne ramènent pas le risque à un niveau acceptable, vous devez consulter l’autorité de contrôle avant le traitement (article 36(1)) et lui transmettre l’AIPD avec votre demande (article 36(3)). Les lignes directrices donnent des exemples de risque résiduel inacceptable : des conséquences importantes, voire irréversibles, pour les personnes, ou un risque dont la réalisation paraît évidente, comme une vulnérabilité connue laissée sans correctif.

Si l’autorité estime que le traitement enfreindrait le RGPD, elle rend un avis écrit dans un délai maximum de huit semaines à compter de la réception de la demande, prolongeable de six semaines selon la complexité du traitement (article 36(2)).

La nLPD suit une logique proche : l’article 22 impose une analyse d’impact pour les traitements susceptibles d’entraîner un risque élevé, et l’article 23 impose de consulter le PFPDT si un risque élevé subsiste malgré les mesures. Une entreprise privée qui a désigné un conseiller à la protection des données remplissant les conditions légales peut le consulter à la place. Voir le guide de la nLPD.

• La réaliser après le lancement. L’AIPD doit éclairer la décision de traiter : elle a sa place dans la phase de conception.
• Évaluer le risque pour l’entreprise plutôt que pour les personnes. L’AIPD adopte le point de vue des personnes concernées, à la différence d’une analyse de risques de sécurité de l’information, centrée sur l’organisation.
• Ne pas documenter la décision de ne pas en faire. Lorsqu’un traitement correspond aux critères de risque élevé mais que vous concluez qu’il n’est pas susceptible d’engendrer un risque élevé, les lignes directrices attendent que vous consigniez les raisons et l’avis du DPO.
• Lister des mesures jamais mises en œuvre. Les mesures prévues dans l’AIPD doivent exister en pratique, et l’analyse doit être revue quand elles changent.
• La classer et l’oublier. Au titre du RGPD, ne pas réaliser une AIPD requise, la réaliser de façon incorrecte ou ne pas consulter l’autorité lorsque c’est obligatoire peut entraîner une amende jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.