Selon le règlement général sur la protection des données personnelles, une analyse d’impact (AIPD) est toujours requise lorsqu’un traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques » (article 35, paragraphe 1).
Il revient à chaque responsable de jauger ce risque et donc cette obligation. Néanmoins, dans une logique d’accompagnement, les autorités de contrôle européennes avaient publié en février 2017 neuf critères où une telle analyse est requise. Plus exactement, un responsable « peut considérer qu’un traitement satisfaisant à deux [des neuf] critères nécessite une AIPD » : surveillance systématique, données sensibles, données visant des personnes vulnérables, etc.
Selon nos informations, la CNIL diffusera la semaine prochaine la liste des traitements obligatoirement soumis à une analyse d’impact. Suivra ensuite, la liste inverse, celle où une telle analyse n’est jamais obligatoire.
Commentaires (5)
#1
Pour bien comprendre : ce sera la liste des données susceptibles d’être demandées (ou bien à éviter) pour la finalité du traitement ?
#2
Non, l’article 35 du RGPD (règlement (UE) 2016⁄679) oblige à analyser les risques d’un traitement de données personnelles dans certains cas (traitement systématique, à grande échelle, de données sensibles…) par ailleurs, la CNIL peut préciser que dans certains cas, ces analyses sont obligatoires.
Ceci permet de s’assurer, sur la base de l’article 35(4) du RGPD, même quand les risques sont réduits par le responsable d’un traitement de données par différentes méthodes (chiffrement, pas de stockage en ligne ou autres), qu’une analyse est faite.
#3
Merci, je me doutais que j’avais mal compris
" />
#4
Bonjour, le délai que vous annonciez a été dépassé. De nouveaux éléments en votre possession expliquant ce retard?
#5