Quand une AIPD est-elle obligatoire au titre du RGPD ?

Les lignes directrices du groupe de travail « Article 29 » sur l’AIPD (WP248 rév.01), reprises par le CEPD, traduisent le test du risque élevé de l’article 35 en neuf critères :

• Évaluation ou notation, y compris le profilage et la prédiction, par exemple la constitution de profils comportementaux ou marketing à partir de la navigation sur un site.
• Prise de décision automatisée produisant un effet juridique ou un effet similaire significatif.
• Surveillance systématique, y compris les données collectées par des réseaux ou la surveillance d’une zone accessible au public.
• Données sensibles ou à caractère hautement personnel : catégories particulières de l’article 9, condamnations pénales et infractions de l’article 10, mais aussi données de localisation ou financières.
• Données traitées à grande échelle, appréciée selon le nombre de personnes concernées, le volume et la variété des données, la durée du traitement et son étendue géographique.
• Croisement ou combinaison d’ensembles de données au-delà de ce que les personnes peuvent raisonnablement attendre.
• Données concernant des personnes vulnérables : enfants, salariés, patients, personnes âgées.
• Usage innovant ou application de nouvelles solutions technologiques ou organisationnelles, comme l’association de l’empreinte digitale et de la reconnaissance faciale pour le contrôle d’accès.
• Traitement qui, en lui-même, empêche les personnes d’exercer un droit ou de bénéficier d’un service ou d’un contrat, comme la vérification d’un demandeur de crédit dans un fichier d’incidents.

Dans la plupart des cas, un traitement qui remplit deux critères exige une AIPD, et plus il en remplit, plus le risque élevé est probable. Un seul critère peut parfois suffire. Les lignes directrices citent aussi des cas qui n’en demandent pas : une lettre d’information quotidienne générique envoyée aux abonnés ne remplit que le critère de la grande échelle.

Elles la complètent. L’article 35, paragraphe 4, impose à chaque autorité de contrôle d’établir et de publier la liste des types d’opérations de traitement pour lesquelles une AIPD est toujours requise, et de la communiquer au CEPD. L’article 35, paragraphe 5, lui permet de publier en plus une liste des traitements qui n’en exigent pas. Lorsqu’une liste vise des traitements liés à l’offre de biens ou de services, ou au suivi du comportement, dans plusieurs États membres, l’autorité passe d’abord par le mécanisme de contrôle de la cohérence du CEPD (article 35, paragraphe 6).

Consultez la liste de l’autorité compétente pour votre traitement avant de vous fier aux seuls neuf critères. En France, par exemple, la liste de la CNIL vise notamment les traitements de données de santé mis en œuvre par les établissements de santé pour la prise en charge des personnes et le profilage à des fins de gestion des ressources humaines. Une liste ne dit pas tout pour autant : un traitement absent de la liste peut rester à risque élevé selon le test général.

Les lignes directrices retiennent cinq cas :

• Le traitement n’est pas susceptible d’engendrer un risque élevé.
• Sa nature, sa portée, son contexte et ses finalités sont très proches d’un traitement qui a déjà fait l’objet d’une AIPD, dont les résultats peuvent être repris (l’article 35, paragraphe 1, permet une analyse unique pour un ensemble d’opérations similaires).
• Il a été vérifié par une autorité de contrôle ou un délégué à la protection des données avant mai 2018 au titre de la directive 95/46/CE et n’a pas changé depuis.
• Il repose sur une base juridique du droit de l’Union ou d’un État membre au titre de l’article 6, paragraphe 1, point c) ou e), ce droit encadre l’opération précise, et une AIPD a été réalisée lors de l’adoption de cette base juridique (article 35, paragraphe 10), sauf si l’État membre en exige une malgré tout.
• Il figure sur la liste de l’article 35, paragraphe 5, des traitements dispensés d’AIPD.

Un traitement existant n’est pas dispensé une fois pour toutes. Une AIPD devient nécessaire lorsque ses risques évoluent, par exemple avec une nouvelle technologie, une nouvelle finalité ou de nouveaux destinataires. Si une activité remplit les critères mais que vous concluez à l’absence de risque élevé probable, documentez les motifs et l’avis du DPO. Le déroulé de l’analyse elle-même est présenté dans qu’est-ce qu’une AIPD au titre du RGPD ?

L’article 22 de la nLPD reprend le même déclencheur : une analyse d’impact est requise au préalable lorsque le traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. La loi cite deux exemples, le traitement de données sensibles à grande échelle et la surveillance systématique de grandes parties du domaine public, et précise que le risque dépend de la nature, de l’étendue, des circonstances et de la finalité du traitement, en particulier lors du recours à de nouvelles technologies.

Les dispenses diffèrent du RGPD. Le responsable privé en est dispensé lorsque la loi l’oblige à traiter les données (article 22, alinéa 4). Il peut aussi y renoncer s’il utilise un système, un produit ou un service certifié pour l’usage prévu, ou s’il respecte un code de conduite fondé sur une analyse d’impact, prévoyant des mesures de protection et soumis au PFPDT (article 22, alinéa 5). Voir le guide nLPD.