Selon le règlement général sur la protection des données personnelles, une analyse d’impact (AIPD) est toujours requise lorsqu’un traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques » (article 35, paragraphe 1).

Il revient à chaque responsable de jauger ce risque et donc cette obligation. Néanmoins, dans une logique d’accompagnement, les autorités de contrôle européennes avaient publié en février 2017 neuf critères où une telle analyse est requise. Plus exactement, un responsable « peut considérer qu’un traitement satisfaisant à deux [des neuf] critères nécessite une AIPD » : surveillance systématique, données sensibles, données visant des personnes vulnérables, etc.

Selon nos informations, la CNIL diffusera la semaine prochaine la liste des traitements obligatoirement soumis à une analyse d’impact. Suivra ensuite, la liste inverse, celle où une telle analyse n’est jamais obligatoire.