Analyse d'impact (AIPD) : quand est-elle obligatoire et que doit-elle contenir En vigueur
Faits essentiels
| Point | Valeur |
|---|---|
| Fondement | article 35 du RGPD (règlement (UE) 2016/679) |
| Critère de déclenchement | traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques |
| Moment de réalisation | avant la mise en œuvre du traitement |
| Liste CNIL « AIPD requise » | 14 types d'opérations de traitement |
| Liste CNIL « AIPD non requise » | 12 types d'opérations de traitement |
| Règle des critères du CEPD (ex-G29) | au moins 2 des 9 critères des lignes directrices WP248 rév. 01 |
| Contenu minimal de l'AIPD | 4 éléments : description systématique, évaluation de la nécessité et de la proportionnalité, évaluation des risques, mesures envisagées |
| Délai de réponse de la CNIL en consultation préalable | 8 semaines, prolongeables de 6 semaines (14 semaines au maximum, hors suspension) |
| Sanction maximale | 10 000 000 € ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu |
Le critère général (article 35.1 RGPD)
Une AIPD est obligatoire « lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ». Elle doit être réalisée avant la mise en œuvre du traitement.
Une seule analyse peut porter sur un ensemble d'opérations de traitement similaires présentant des risques élevés similaires.
Les trois cas de l'article 35.3
L'AIPD est requise en particulier dans les cas suivants :
- a) l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ou affectant significativement la personne ;
- b) le traitement à grande échelle de catégories particulières de données (article 9) ou de données relatives aux condamnations pénales et aux infractions (article 10) ;
- c) la surveillance systématique à grande échelle d'une zone accessible au public.
La méthode CNIL : listes + critères du CEPD
En pratique, la CNIL retient qu'une AIPD est nécessaire dans deux hypothèses.
1. Le traitement figure sur la liste des types d'opérations pour lesquels une AIPD est obligatoire. Cette liste, adoptée par la délibération n° 2018-327 du 11 octobre 2018 (publiée au JORF du 6 novembre 2018), comporte quatorze types d'opérations de traitement. Une liste symétrique des traitements pour lesquels une AIPD n'est pas requise a été adoptée par la délibération n° 2019-118 du 12 septembre 2019 et comporte douze types d'opérations.
2. Le traitement remplit au moins deux des neuf critères issus des lignes directrices du G29 (WP248 rév. 01), reprises par le Comité européen de la protection des données :
- évaluation ou *scoring*, y compris le profilage ;
- décision automatisée avec effet juridique ou similaire ;
- surveillance systématique ;
- données sensibles ou données à caractère hautement personnel ;
- données personnelles collectées à large échelle ;
- croisement de données ;
- personnes vulnérables (patients, personnes âgées, enfants…) ;
- usage innovant, recours à une nouvelle technologie ;
- exclusion du bénéfice d'un droit ou d'un contrat.
Aucune de ces listes n'est exhaustive : un traitement qui n'y figure pas peut néanmoins devoir faire l'objet d'une AIPD s'il est susceptible d'engendrer un risque élevé.
Contenu minimal de l'AIPD (article 35.7)
L'analyse contient au moins :
- a) une description systématique des opérations de traitement envisagées et de leurs finalités, y compris, le cas échéant, l'intérêt légitime poursuivi ;
- b) une évaluation de la nécessité et de la proportionnalité des opérations au regard des finalités ;
- c) une évaluation des risques pour les droits et libertés des personnes concernées ;
- d) les mesures envisagées pour faire face aux risques, y compris les garanties et mécanismes de sécurité, et les éléments démontrant le respect du règlement.
La CNIL met à disposition le logiciel libre PIA pour conduire et formaliser l'analyse.
Consultation préalable de la CNIL (article 36)
Si l'AIPD indique que le traitement présenterait un risque élevé en l'absence de mesures d'atténuation, le responsable du traitement doit consulter l'autorité de contrôle avant la mise en œuvre.
La CNIL rend un avis écrit dans un délai de 8 semaines à compter de la réception de la demande. Ce délai peut être prolongé de 6 semaines en fonction de la complexité du traitement, le responsable devant en être informé dans le mois. Les délais peuvent être suspendus jusqu'à l'obtention des informations demandées. Le délai maximal est donc de 14 semaines, hors suspension.
Traitements antérieurs au 25 mai 2018
Position de la CNIL : les traitements ayant fait l'objet d'une formalité préalable auprès de la CNIL avant le 25 mai 2018, ceux dispensés de formalité et ceux consignés au registre d'un correspondant informatique et libertés (CIL) bénéficiaient d'une dispense limitée à trois ans. À l'issue de ce délai, une AIPD devait être réalisée si le traitement était susceptible d'engendrer un risque élevé.
Une AIPD était en revanche exigée sans attendre pour tout nouveau traitement postérieur au 25 mai 2018, pour les traitements antérieurs n'ayant fait l'objet d'aucune formalité, et pour les traitements dispensés faisant l'objet d'une modification significative.
Sanction
Le manquement à l'obligation d'analyse d'impact relève de l'article 83.4 a) du RGPD : amende administrative pouvant s'élever jusqu'à 10 000 000 € ou, pour une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
Sources
- Légifrance – Délibération n° 2018-327 du 11 octobre 2018 portant adoption de la liste des types d'opérations de traitement pour lesquelles une AIPD est requise: https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000037559521
- Légifrance – Annexe à la délibération n° 2018-327 (liste des 14 types d'opérations): https://www.legifrance.gouv.fr/jorf/article_jo/JORFARTI000037559526
- CNIL – RGPD, chapitre IV (articles 35 et 36): https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- CNIL – RGPD, chapitre VIII (article 83, amendes administratives): https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre8
- CNIL – Ce qu'il faut savoir sur l'analyse d'impact relative à la protection des données (AIPD): https://www.cnil.fr/fr/ce-quil-faut-savoir-sur-lanalyse-dimpact-relative-la-protection-des-donnees-aipd
- CNIL – Listes des traitements pour lesquels une AIPD est requise ou non: https://www.cnil.fr/fr/listes-des-traitements-pour-lesquels-une-aipd-est-requise-ou-non
- CNIL – Liste des types d'opérations pour lesquelles une AIPD est requise (PDF): https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-requise.pdf
- CNIL – Liste des types d'opérations pour lesquelles une AIPD n'est pas requise (PDF): https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-non-requise.pdf
- Lignes directrices du G29 sur l'AIPD, WP248 rév. 01 (PDF hébergé par la CNIL): https://www.cnil.fr/sites/default/files/atoms/files/wp248_rev.01_fr.pdf