RGPD: l’analyse d’impact relative à la protection des données (DPIA)

L’apport majeur du RGPD est d’avoir renforcé les droits des personnes concernées par un traitement de données à caractère personnel au moyen d’un bouleversement des principes s’imposant aux acteurs.

Ainsi, a-t-on assisté au passage d’une logique de formalités préalables (déclarations et autorisations) à une logique de conformité et de responsabilité. Sous l’empire de la loi « Informatique et Libertés » dans sa rédaction antérieure, la licéité d’un traitement procédait, pour l’essentiel, d’un contrôle a priori exercé par l’autorité de régulation : le responsable du traitement devait, selon les cas, accomplir une formalité déclarative ou solliciter une autorisation préalable. Le RGPD renverse cette architecture : le contrôle n’est plus opéré en amont par l’autorité, mais incombe désormais, de manière continue, au responsable du traitement lui-même, qui doit pouvoir justifier de sa conformité à tout instant.

Le changement de paradigme ainsi opéré combiné à l’appel à des outils de droit souple tels que les référentiels, les codes de bonne conduite et les packs de conformité, est un gage d’allègement des démarches administratives et de réduction des délais de mise en œuvre pour les entreprises.

Cet allègement des formalités introduit par le RGPD a pour contrepartie l’établissement de nouvelles obligations pesant sur les responsables de traitements et sous-traitants telles que :

• La mise en œuvre d’outils de protection des données personnelles dès la conception du traitement ou par défaut (article 25)
• L’obligation de tenir une documentation, en particulier au travers d’un registre des activités de traitement (article 30)
• La notification des violations de données personnelles à l’autorité de protection et, dans certains cas, à la personne concernée (articles 33 et 34)
• La désignation d’un délégué à la protection des données (article 37)
• L’adhésion à des codes de bonne conduite (articles 40 et 41)
• La participation à des mécanismes de certification (articles 42 et 43)

Ainsi le RGPD se fonde-t-il sur une logique de responsabilisation des acteurs qui mettent en œuvre des traitements de données à caractère personnel en introduisant le principe d’accountability.

Bien qu’il soit difficile de définir avec précision le sens de ce principe dans la pratique, on peut toutefois avancer qu’il met l’accent, en substance, sur la manière dont la responsabilité (responsability) est assumée et sur la manière de le vérifier.

En anglais, les termes « responsibility » et « accountability » sont comme l’avers et le revers d’une médaille et sont tous deux des éléments essentiels de la bonne gouvernance.

On ne peut inspirer une confiance suffisante que s’il est démontré que la responsabilité (responsability) est efficacement assumée dans la pratique.

Au fond, le principe d’« accountability » s’articule autour de deux axes :

• D’une part, la nécessité pour le responsable du traitement des données de prendre des mesures appropriées et efficaces pour mettre en œuvre les principes de protection des données
• D’autre part, la nécessité pour le responsable du traitement de démontrer, sur demande, que des mesures appropriées et efficaces ont été prises.

La distinction entre ces deux axes mérite d’être soulignée, car elle commande toute l’économie du dispositif : le premier relève de l’action — adopter les mesures de protection idoines — tandis que le second relève de la preuve — pouvoir établir, pièces à l’appui, que ces mesures ont été prises et qu’elles sont effectives. C’est précisément cette dimension probatoire qui distingue l’accountability d’une simple obligation de moyens : il ne suffit pas d’avoir bien agi, encore faut-il pouvoir en rapporter la démonstration.

Pour atteindre ces deux objectifs, il appartient au responsable du traitement de se doter d’une politique de gestion de la conformité, ce qui doit se traduire par la mise en œuvre de procédures internes visant à mettre en application les principes de la protection des données.

Dans cette perspective, les mesures prises par le responsable du traitement doivent être adaptées aux circonstances. En somme, les mesures spécifiques à appliquer doivent être arrêtées selon les faits et circonstances de chaque cas particulier, compte tenu, en particulier, du risque associé au traitement et aux types de données.

L’adéquation des mesures doit donc être établie au cas par cas et plus précisément selon le niveau de risque : plus le traitement de données est sensible et plus les mesures prises pour assurer la protection des personnes concernées devront être renforcées. Cette logique de proportionnalité — l’intensité des garanties devant épouser la gravité du risque — constitue le fil conducteur du RGPD et, singulièrement, le ressort de l’analyse d’impact : c’est parce que le risque est élevé que le règlement exige du responsable une démarche d’évaluation formalisée.

Afin d’orienter le responsable du traitement dans cette voie et de lui permettre de définir et mettre en œuvre les mesures requises pour garantir la conformité de ses opérations avec les principes et obligations du RGPD et en fassent vérifier l’efficacité de manière périodique, le législateur a mis à sa charge un certain nombre d’obligations, dont l’obligation de réaliser une analyse d’impact.

I) Notion

Lorsque les opérations de traitement sont susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le RGPD met à la charge du responsable du traitement une obligation de réalisation d’une étude d’impact relative à la protection des données (DPIA – Data Protection Impact Assessment – Analyse d’impact relative à la protection des données – AIPD ou PIA)

En somme, l’analyse d’impact est un processus dont l’objet est de décrire le traitement, d’en évaluer la nécessité ainsi que la proportionnalité et d’aider à gérer les risques pour les droits et libertés des personnes physiques liés au traitement de leurs données à caractère personnel, en les évaluant et en déterminant les mesures nécessaires pour y faire face.

À l’analyse, cette définition révèle que l’AIPD poursuit trois finalités complémentaires, qu’il importe de distinguer :

• Une finalité descriptive — il s’agit, en premier lieu, de décrire de manière exhaustive le traitement envisagé : ses finalités, les catégories de données collectées, les destinataires, les durées de conservation et les flux concernés ;
• Une finalité d’appréciation — il s’agit, en deuxième lieu, d’évaluer la nécessité et la proportionnalité du traitement au regard de ses finalités, c’est-à-dire de vérifier que les données collectées sont adéquates, pertinentes et limitées à ce qui est strictement requis ;
• Une finalité de maîtrise des risques — il s’agit, en dernier lieu, d’identifier les risques pour les droits et libertés des personnes concernées et de déterminer les mesures techniques et organisationnelles propres à les réduire à un niveau acceptable.

Lorsque, par exemple, il ressort d’une analyse d’impact relative à la protection des données que les opérations de traitement des données comportent un risque élevé que le responsable du traitement ne peut atténuer en prenant des mesures appropriées compte tenu des techniques disponibles et des coûts liés à leur mise en œuvre, l’autorité de contrôle doit alors être consultée avant que le traitement n’ait lieu.

De toute évidence, l’analyse d’impact est un outil important au regard du principe de responsabilité, compte tenu de son utilité pour le responsable du traitement non seulement aux fins du respect des exigences du RGPD, mais également en ce qui concerne sa capacité à démontrer que des mesures appropriées ont été prises pour assurer la conformité au règlement

Ainsi, l’analyse d’impact s’apparente-t-elle à un processus qui vise à assurer la conformité aux règles et à pouvoir en apporter la preuve. Elle constitue, en ce sens, l’une des traductions opérationnelles les plus abouties du principe d’accountability : par elle, le responsable du traitement administre tout à la fois la preuve de sa diligence et celle de l’effectivité des garanties qu’il a déployées.

II) Étendue de l’obligation

Conformément à l’approche par les risques préconisée par le RGPD, il n’est pas obligatoire d’effectuer une analyse d’impact pour chaque opération de traitement. Le règlement répudie en effet toute approche systématique et indifférenciée : il serait à la fois disproportionné et contre-productif d’astreindre le responsable du traitement à conduire une analyse d’impact pour des traitements anodins, dépourvus de tout risque significatif pour les personnes concernées.

Une AIPD n’est requise que lorsque le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ».

A cet égard, il ressort de l’article 35 du RGPD qu’il convient de distinguer les cas où l’analyse d’impact est obligatoire et les cas où elle est seulement facultative

A) L’analyse d’impact obligatoire

Il convient de distinguer les traitements qui sont intervenus avant l’entrée en vigueur du RGPD de ceux mis en œuvre après

1. 1) Les traitements intervenus postérieurement à l’entrée en vigueur du RGPD

Une analyse d’impact doit obligatoirement être mené quand le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées ».

A cet égard, trois cas doivent être distinguées :

• Soit le traitement correspond à l’un des cas envisagés par le RGPD
• Soit le traitement envisagé figure dans la liste des types d’opérations de traitement pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact
• Soit le traitement remplit au moins deux des neuf critères issus des lignes directrices du G29 :

Ces trois cas obéissent à une logique commune — la présomption de risque élevé — mais procèdent de sources distinctes : le texte du règlement lui-même, la doctrine administrative de l’autorité nationale de contrôle, et les lignes directrices du groupe européen des autorités de protection. Il convient de les examiner successivement.

a) Le traitement correspond à l’un des cas envisagés par le RGPD

L’article 35,3 du RGPD prévoit que la réalisation d’une étude d’impact est obligatoire dans trois cas :

• L’évaluation systématique et approfondie d’aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l’égard d’une personne physique ou l’affectant de manière significative de façon similaire ;
• Le traitement à grande échelle de catégories particulières de données visées à l’article 9, paragraphe 1, ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10 ;
• La surveillance systématique à grande échelle d’une zone accessible au public.

Dans ces trois cas, le texte pose une véritable présomption irréfragable de risque élevée d’atteinte aux droits et libertés de la personne concernée par le traitement. Il en résulte que le responsable du traitement ne saurait s’exonérer de l’analyse d’impact en arguant de ce que, dans son cas particulier, le risque lui paraîtrait maîtrisé : la qualification de risque élevé est, ici, acquise de jure, sans qu’il soit permis d’en rapporter la preuve contraire.

b) Le traitement correspond à l’un des cas envisagés par la CNIL

Comme le laisse entendre la locution « en particulier » dans le 3 de l’article 35 du RGPD, la liste ainsi posée n’est pas exhaustive.

Aussi, même si elles ne figurent pas dans cette liste, d’autres opérations de traitement sont susceptibles de rendre obligatoire la réalisation d’une analyse d’impact, dès lors que le traitement présente un risque élevé.

La question qui alors se pose est de savoir ce que l’on doit entendre par « risque élevé ».

Pour la CNIL, un « risque sur la vie privée » est un scénario décrivant :

• Un événement redouté (atteinte à la confidentialité, la disponibilité ou l’intégrité des données, et ses impacts potentiels sur les droits et libertés des personnes) ;
• Toutes les menaces qui permettraient qu’il survienne.

Ce risque est estimé en termes de gravité et de vraisemblance. La gravité doit être évaluée pour les personnes concernées, et non pour l’organisme. Cette précision est déterminante : elle déplace le centre de gravité de l’analyse. Il ne s’agit pas de mesurer le préjudice que l’organisme pourrait subir — perte financière, atteinte à son image, sanction — mais bien le dommage que les personnes physiques pourraient éprouver dans leurs droits et libertés fondamentaux. L’analyse d’impact se conçoit donc dans une perspective résolument protectrice de la personne, et non de l’entreprise.

Afin de faciliter la tâche des responsables de traitement, la CNIL a établi une liste des traitements qui sont irréfragablement présumés présenter un risque élevé pour les droits et libertés des personnes concernés. Il en résulte que la réalisation d’une analyse d’impact pour ces traitements est obligatoire, alors même qu’ils ne sont pas expressément visés par le RGPD :

• Traitements de données de santé mis en œuvre par les établissements de santé ou les établissements médicosociaux pour la prise en charge des personnes
  • Traitements « de santé » mis en œuvre par les établissements de santé (hôpital, CHU, cliniques, etc.) :
    • Dossier « patients »
    • Algorithmes de prise de décision médicale
    • Dispositifs de vigilances sanitaires et de gestion du risque
    • Dispositifs de télémédecine
    • Gestion du laboratoire de biologie médicale et de la pharmacie à usage intérieur, etc.
  • Traitement portant sur les dossiers des résidents pris en charge par un centre communal d’action sociale (CCAS) ou par un établissement d’hébergement pour personnes âgées dépendantes (EPHAD).

• Traitements portant sur des données génétiques de personnes dites « vulnérables » (patients, employés, enfants, etc.)
  • Mise en œuvre d’une recherche médicale portant sur des patients et incluant le traitement de leurs données génétiques
  • Traitement utilisé pour la gestion d’une consultation de génétique dans un établissement de santé

• Traitements établissant des profils de personnes physiques à des fins de gestion des ressources humaines
  • Traitement de détection et de gestion de « hauts potentiels »
  • Traitement visant à faciliter le recrutement, notamment grâce à un algorithme de sélection
  • Traitement visant à proposer des actions de formations personnalisées grâce à un algorithme
  • Traitement visant détecter et à prévenir les départs de salariés sur la base de corrélations établies entre divers facteurs.

• Traitements ayant pour finalité de surveiller de manière constante l’activité des employés concernés
  • Dispositif de cyber surveillance tels que ceux procédant à une analyse des flux de courriels sortants afin de détecter d’éventuelles fuites d’information (dispositifs dits de Data Loss Prevention)
  • Vidéosurveillance portant sur les employés manipulant de l’argent
  • Vidéosurveillance d’un entrepôt stockant des biens de valeur au sein duquel travaillent des manutentionnaires
  • Chronotachygraphe des véhicules de transport routier.

• Traitements ayant pour finalité la gestion des alertes et des signalements en matière sociale et sanitaire
  • Dispositif de signalement de mineurs en danger
  • Traitement utilisé par une agence sanitaire pour la gestion d’une crise sanitaire ou d’une alerte sanitaire
  • Dispositif de signalement de situations de maltraitance sur des personnes vulnérables (personnes âgées, en situation de handicap, etc.).

• Traitements ayant pour finalité la gestion des alertes et des signalements en matière professionnelle
  • Dispositif de recueil d’alertes professionnelles pour les organismes privés ou publics concernés
  • Dispositif de recueil de signalements concernant des faits de trafic d’influence ou de corruption commis au sein de l’organisme
  • Dispositif d’alerte mis en œuvre dans le cadre du devoir de vigilance.

• Traitements des données de santé nécessaires à la constitution d’un entrepôt de données ou d’un registre
  • Entrepôt de données de santé mis en œuvre par un établissement de santé ou une personne privée, pour servir des finalités de recherche.

• Traitements impliquant le profilage des personnes pouvant aboutir à leur exclusion du bénéfice d’un contrat ou à la suspension voire à la rupture de celui-ci
  • Traitement établissant un score pour l’octroi de crédit
  • Traitement reposant sur une analyse comportementale visant à détecter des comportements « interdits » sur un réseau social
  • Traitement de lutte contre la fraude aux moyens de paiement.

• Traitements mutualisés de manquements contractuels constatés, susceptibles d’aboutir à une décision d’exclusion ou de suspension du bénéfice d’un contrat
  • Traitement recensant les impayés et souscriptions irrégulières partagé par un secteur d’activité
  • Traitement des résiliations automobiles qui permet aux sociétés d’assurances de vérifier les antécédents d’un futur assuré lors de la demande de souscription d’un contrat d’assurance automobile.

• Traitements de profilage faisant appel à des données provenant de sources externes
  • Combinaison de données opérée par des courtiers en données (data brokers)
  • Traitement visant à personnaliser les publicités en ligne

• Traitements de données biométriques aux fins de reconnaissance des personnes parmi lesquelles figurent des personnes dites « vulnérables » (élèves, personnes âgées, patients, demandeurs d’asile, etc.)
  • Traitement basé sur la reconnaissance de l’empreinte digitale ayant pour finalité le contrôle de l’identité des patients
  • Contrôle d’accès à la cantine scolaire par reconnaissance du contour de la main

• Instruction des demandes et gestion des logements sociaux
  • Traitement visant à permettre l’instruction des demandes de logement social en location ou en accession à la propriété.

• Traitements ayant pour finalité l’accompagnement social ou médico-social des personnes
  • Traitement mis en œuvre par un établissement ou une association dans le cadre de la prise en charge de personnes en insertion ou réinsertion sociale et professionnelle
  • Traitement mis en œuvre par les maisons départementales des personnes handicapées dans le cadre de l’accueil, l’hébergement, l’accompagnement et le suivi de ces personnes
  • Traitement mis en œuvre par un centre communal d’action sociale dans le cadre du suivi de personnes atteintes de pathologies chroniques invalidantes en situation de fragilité sociale.

• Traitements de données de localisation à large échelle
  • Application mobile permettant de collecter les données de géolocalisation des utilisateurs
  • Fourniture d’un service de géolocalisation de mobilité urbaine utilisé par un grand nombre de personnes
  • Base de données « clients » des opérateurs de communication électronique
  • Mise en œuvre d’un système de billettique par des opérateurs de transport.

L’examen de cette liste révèle un dénominateur commun : la plupart des traitements ainsi recensés concernent soit des données sensibles ou hautement personnelles (santé, génétique, biométrie), soit des personnes en situation de vulnérabilité (patients, enfants, personnes âgées, salariés placés dans un rapport de subordination), soit encore des opérations de profilage emportant des conséquences décisives sur la situation des intéressés (octroi d’un crédit, accès à un logement, conclusion d’un contrat). Cette grille de lecture éclaire la philosophie de l’autorité de contrôle : le risque élevé se concentre là où le déséquilibre entre la personne concernée et le responsable du traitement est le plus marqué.

Le traitement remplit au moins deux des neuf critères issus des lignes directrices du G29

Dès lors que le traitement remplit au moins deux des neufs critères posés par le Groupe de l’article 29, il est réputé faire peser un risque élevé pour les droits et libertés de la personne concernée.

Au nombre de ces critères figurent :

• Évaluation/scoring (y compris le profilage)
  • Sont visées en particulier les activités portant sur des aspects concernant le rendement au travail de la personne concernée, sa situation économique, sa santé, ses préférences ou centres d’intérêt personnels, sa fiabilité ou son comportement, ou sa localisation et ses déplacements

• Décision automatique avec effet légal ou similaire
  • Il s’agit du traitement ayant pour finalité la prise de décisions à l’égard des personnes concernées produisant des effets juridiques à l’égard d’une personne physique ou l’affectant de manière significative de façon similaire

• Surveillance systématique
  • Est ici notamment visé le traitement utilisé pour observer, surveiller ou contrôler les personnes concernées, y compris la collecte de données via des réseaux ou par la surveillance systématique d’une zone accessible au public

• Collecte de données sensibles ou données à caractère hautement personnel
  • Il s’agit de catégories particulières de données à caractère personnel visées à l’article 9 du RGPD (informations concernant les opinions politiques des personnes, par exemple) ainsi que des données à caractère personnel relatives aux condamnations pénales ou aux infractions visées à l’article 10

• Collecte de données personnelles à large échelle
  • Pour déterminer si le traitement est effectué à grande échelle, le GT29 recommande de prendre en compte, en particulier, les facteurs suivants :
    • Le nombre de personnes concernées, soit en valeur absolue, soit en proportion de la population considérée ;
    • Le volume de données et/ou l’éventail des différents éléments de données traitées ;
    • La durée ou la permanence de l’activité de traitement de données ;
    • L’étendue géographique de l’activité de traitement

• Croisement ou combinaison d’ensembles de données
  • Ils peuvent être issus de deux opérations de traitement de données, ou plus, effectuées à des fins différentes et/ou par différents responsables du traitement, d’une manière qui outrepasserait les attentes raisonnables de la personne concernée

• Personnes vulnérables (patients, personnes âgées, enfants, etc.)
  • le traitement de ce type de données est un critère en raison du déséquilibre des pouvoirs accru qui existe entre les personnes concernées et le responsable du traitement, ce qui signifie que les premières peuvent se trouver dans l’incapacité de consentir, ou de s’opposer, aisément au traitement de leurs données ou d’exercer leurs droits. P

• Usage innovant (utilisation d’une nouvelle technologie)
  • Utilisation combinée, par exemple, de systèmes de reconnaissance des empreintes digitales et de reconnaissance faciale pour améliorer le contrôle des accès physiques, etc.

• Exclusion du bénéfice d’un droit/contrat
  • Ces traitements incluent notamment les opérations visant à autoriser, modifier ou refuser l’accès à un service ou la conclusion d’un contrat

Dans la plupart des cas, le responsable du traitement peut considérer qu’un traitement satisfaisant à deux critères nécessite une analyse d’impact.

D’une manière générale, le Groupe de l’article 29 estime que plus le traitement remplit de critères, plus il est susceptible de présenter un risque élevé pour les droits et libertés des personnes concernées et par conséquent de nécessiter une analyse d’impact, quelles que soient les mesures que le responsable du traitement envisage d’adopter.

Néanmoins, dans certains cas, le responsable du traitement peut considérer que même si son traitement ne satisfait qu’à un seul de ces critères, il requiert malgré tout une AIPD. À l’inverse, lorsque le responsable du traitement estime qu’un traitement remplissant deux critères ne présente pas, eu égard à ses caractéristiques propres, de risque élevé, il lui appartient de documenter et de justifier ce choix : la dispense ne saurait procéder d’une simple affirmation, mais doit reposer sur une appréciation motivée, conforme à l’exigence de traçabilité inhérente au principe d’accountability.

2) Les traitements intervenus antérieurement à l’entrée en vigueur du RGPD

La difficulté est ici d’ordre transitoire. L’obligation de conduire une analyse d’impact procède d’un règlement entré en application le 25 mai 2018 ; or, à cette date, une multitude de traitements étaient déjà déployés et fonctionnaient régulièrement sous l’empire de la législation antérieure — la loi « Informatique et Libertés » dans sa rédaction d’alors. Soumettre, du jour au lendemain, l’intégralité de ce stock de traitements préexistants à l’exigence d’une analyse d’impact aurait été matériellement irréalisable et juridiquement excessif. Aussi la CNIL a-t-elle aménagé un régime transitoire, gouverné par une idée directrice : la confiance accordée aux traitements qui avaient déjà été soumis au contrôle de l’autorité.

Lorsque le traitement est ainsi intervenu avant l’entrée en vigueur du RGPD, la CNIL considère qu’une étude d’impact ne sera pas exigée pour :

• Les traitements qui ont fait l’objet d’une formalité préalable auprès de la CNIL avant le 25 mai 2018, ou qui étaient dispensés de formalité.
• Les traitements qui ont été consignés au registre d’un correspondant informatique et libertés.

La logique qui sous-tend cette dispense mérite d’être explicitée. Sous l’empire du droit antérieur, le responsable du traitement devait, selon les cas, déclarer son traitement, solliciter une autorisation ou l’inscrire au registre tenu par le correspondant informatique et libertés. Ces formalités préalables emportaient un examen, fût-il sommaire, de la licéité du traitement : l’autorité disposait donc déjà d’une connaissance de ce dernier. Dès lors, exiger derechef une analyse d’impact reviendrait à imposer un contrôle redondant sur un traitement déjà éprouvé. C’est cette présomption de fiabilité qui fonde la dispense.

Cette dispense d’obligation de réaliser une analyse d’impact, pour les traitements existants et régulièrement mis en œuvre, n’est toutefois pas définitive : elle est limitée à une période de 3 ans.

Cela signifie que, à l’issue de ce délai, les responsables de traitement doivent avoir effectué une telle étude si le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Le délai de trois ans ne saurait, en effet, être lu comme une exonération pérenne : il constitue une simple période de tolérance, au terme de laquelle le droit commun de l’analyse d’impact reprend tout son empire. La présomption de fiabilité s’épuise avec le temps, car un traitement déclaré il y a plusieurs années a pu, entre-temps, voir son périmètre, ses finalités ou ses moyens techniques évoluer, et avec eux le niveau de risque qu’il fait courir aux personnes concernées.

En revanche, l’étude d’impact devra être réalisée, sans attendre l’issue de ce délai de trois ans, dans tous les autres cas, dès lors que le traitement présente un risque élevé, soit :

• Pour tout nouveau traitement mis en œuvre après le 25 mai 2018 
• Pour les traitements antérieurs n’ayant pas fait l’objet de formalités préalables auprès de la CNIL 
• Pour les traitements, antérieurs au 25 mai et qui ont été dispensés d’étude d’impact en raison de l’accomplissement d’une formalité préalable auprès de la CNIL, mais qui font l’objet d’une modification significative.

Ces trois hypothèses procèdent d’une même ratio : la dispense transitoire ne se justifie que là où un contrôle a effectivement eu lieu et où le traitement demeure inchangé. Aussi le bénéfice du régime de faveur s’efface-t-il dès lors que l’une de ces deux conditions vient à faire défaut — soit que le traitement n’ait jamais été soumis à l’autorité, soit qu’il ait été substantiellement transformé. La modification significative apparaît ainsi comme la notion charnière de ce dernier cas : elle s’entend de tout changement affectant les caractéristiques essentielles du traitement — extension des finalités, élargissement des catégories de données collectées, allongement des durées de conservation, recours à une nouvelle technologie — de nature à rouvrir la question du risque.

B) L’analyse d’impact facultative

Symétriquement aux hypothèses dans lesquelles l’analyse d’impact s’impose, le RGPD délimite, en creux, les situations dans lesquelles elle n’est pas requise. Il importe ici de raisonner par exclusion : l’analyse d’impact n’étant obligatoire que lorsque le traitement est « susceptible d’engendrer un risque élevé », elle cesse de l’être chaque fois que ce risque élevé fait défaut ou que la garantie qu’elle apporte a déjà été obtenue par une autre voie.

Selon la CNIL, l’analyse d’impact n’est ainsi pas requise dans les cas suivants :

• Quand le traitement ne présente pas de risque élevé pour les droits et libertés des personnes concernées 
• Lorsque la nature, la portée, le contexte et les finalités du traitement envisagé sont très similaires à un traitement pour lequel une AIPD a déjà été menée 
• Quand le traitement répond à une obligation légale ou est nécessaire à l’exercice d’une mission de service public (art. 6.1.c et 6.1.e), sous réserve que les conditions suivantes soient remplies :
  • Qu’il ait une base juridique dans le droit de l’UE ou le droit de l’État membre 
  • Que ce droit règlemente cette opération de traitement 
  • Qu’une AIPD ait déjà été menée lors de l’adoption de cette base juridique 

• Quand le traitement correspond à une exception déterminée par la CNIL conformément à l’article 35(5). La CNIL adoptera prochainement la liste de ces exceptions, après consultation du CEPD (Comité européen de protection des données).

Ces dérogations obéissent à deux ressorts distincts qu’il convient de ne pas confondre. Les deux premières reposent sur une économie de l’analyse : lorsque le risque est absent, l’analyse serait sans objet  lorsqu’un traitement strictement analogue a déjà été analysé, la réitérer serait inutile, le RGPD admettant qu’une même analyse couvre des traitements semblables. La troisième dérogation procède, quant à elle, d’une mutualisation au stade normatif : lorsque le législateur, national ou européen, a lui-même encadré une catégorie de traitements et procédé, à l’occasion de l’adoption du texte, à une analyse d’impact, il serait redondant d’en exiger une seconde de chaque responsable agissant dans ce cadre. L’analyse est, en quelque sorte, absorbée en amont par la loi qui fonde le traitement.

Il faut néanmoins se garder de toute lecture trop libérale de ces exceptions. La dispense n’a rien d’automatique : elle suppose, dans chaque cas, que le responsable du traitement vérifie, et le cas échéant documente, que les conditions en sont effectivement réunies. La charge de la preuve de l’inutilité de l’analyse pèse ainsi sur celui qui entend s’en dispenser, conformément au principe de responsabilité — l’accountability — qui irrigue l’ensemble du règlement.

III) Le contenu de l’analyse d’impact

Une fois acquis le principe de l’obligation, reste à en déterminer la substance : que doit, concrètement, comporter une analyse d’impact pour satisfaire aux exigences du règlement ? À cette question, l’article 35 apporte une réponse précise, en énumérant les rubriques minimales que tout document doit renfermer.

En vertu de l’article 35 du RGPD, l’analyse d’impact doit contenir plusieurs éléments que sont :

• Une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l’intérêt légitime poursuivi par le responsable du traitement 
• Une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités 
• Une évaluation des risques pour les droits et libertés des personnes concernées 
• Les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées.

Cette énumération n’est pas un simple inventaire : elle dessine une véritable progression intellectuelle, qui conduit le responsable du traitement du descriptif vers le prescriptif. On y discerne quatre temps successifs. Le premier est descriptif : il s’agit de dire ce que l’on fait — quelles données, à quelles fins, par quels moyens. Le deuxième est évaluatif au regard de la finalité : la nécessité commande de vérifier que le traitement est indispensable au but poursuivi, et la proportionnalité, que l’atteinte aux droits ne dépasse pas ce que ce but exige. Le troisième est évaluatif au regard du risque : il faut identifier ce qui peut mal tourner pour les personnes. Le quatrième, enfin, est correctif : aux risques identifiés doivent répondre des mesures propres à les réduire.

Le respect d’un code de conduite (article 40) doit être pris en compte (article 35, paragraphe 8) lors de l’évaluation de l’impact d’une opération de traitement de données.

Ceci peut être utile pour démontrer que des mesures adéquates ont été choisies ou mises en place, à condition toutefois que le code de conduite soit approprié pour l’opération de traitement considérée. L’adhésion à un tel code joue ici comme un élément de preuve : elle ne dispense pas de l’analyse, mais elle en facilite la démonstration en attestant que le responsable s’est rallié à des standards sectoriels éprouvés.

Il convient également de prendre en compte les garanties que représentent les certifications, labels et marques destinés à démontrer la conformité au RGPD des opérations de traitement effectuées par les responsables du traitement et les sous-traitants (article 42) ainsi que l’application de règles d’entreprise contraignantes (REC). Codes de conduite, certifications et règles d’entreprise contraignantes participent ainsi d’une même fonction probatoire : ce sont autant d’instruments par lesquels le responsable peut établir la solidité des mesures qu’il a retenues, dans la logique de l’accountability.

IV) La réalisation de l’analyse d’impact

La détermination du contenu de l’analyse appelle, en aval, l’examen de sa mise en œuvre : qui doit la conduire, sur quel objet peut-elle porter et selon quelle méthode doit-elle être menée ? Telles sont les trois questions auxquelles répond la présente rubrique.

A) Les intervenants à l’analyse d’impact

L’analyse d’impact n’est pas l’œuvre d’un acteur unique : elle mobilise une pluralité d’intervenants, dont les rôles s’échelonnent du responsable, qui en assume la charge ultime, jusqu’aux personnes concernées, dont l’avis vient en éclairer la conduite. Il importe néanmoins de bien distinguer celui qui répond de l’analyse de ceux qui y concourent.

• Le responsable du traitement
  • La responsabilité de veiller à ce qu’une analyse d’impact soit effectuée incombe d’abord au responsable du traitement 
  • Elle peut également être réalisée par quelqu’un d’autre, à l’intérieur ou à l’extérieur de l’organisation, mais le responsable du traitement reste responsable en dernier ressort de cette tâche.

La règle est ici celle de la dissociation entre l’exécution matérielle de l’analyse, qui peut être déléguée à un tiers — un prestataire spécialisé, un service interne —, et la responsabilité juridique de son accomplissement, qui demeure, en toute hypothèse, attachée à la personne du responsable du traitement. Celui-ci ne saurait s’exonérer en arguant qu’il a confié la tâche à un autre : respondeat superior, c’est lui qui répond en dernier ressort de la conformité de l’analyse.

• Le délégué à la protection des données
  • Lorsqu’il effectue une analyse d’impact relative à la protection des données, le responsable du traitement a l’obligation de demander conseil au délégué à la protection des données, si un tel délégué a été désigné.

Le délégué intervient en qualité de conseil, et non de décideur : la consultation est obligatoire — le responsable ne peut s’en dispenser dès lors qu’un délégué a été désigné —, mais l’avis rendu ne lie pas. Le responsable demeure libre de s’en écarter, à charge pour lui d’en assumer les conséquences.

• Le sous-traitant
  • Le considérant 95 du RGPD précise que, en cas de sous-traitance, le sous-traitant doit aider le responsable du traitement, si nécessaire et sur demande, à assurer le respect des obligations découlant de la réalisation des analyses d’impact relatives à la protection des données et de la consultation préalable de l’autorité de contrôle.

Le sous-traitant n’est pas tenu de conduire lui-même l’analyse : son obligation est une obligation d’assistance, dont l’étendue est doublement bornée — elle ne joue que « si nécessaire » et « sur demande » du responsable. C’est dire que l’initiative demeure au responsable : le sous-traitant n’est tenu de prêter son concours qu’à proportion de ce que ce dernier requiert, en lui fournissant notamment les informations techniques relatives au traitement qu’il opère pour son compte.

• Les personnes concernées
  • Le responsable du traitement doit demander l’avis des personnes concernées ou de leurs représentants au sujet du traitement prévu sans préjudice de la protection des intérêts généraux ou commerciaux ou de la sécurité des opérations de traitement 
  • Pour le Groupe de l’article 29, cet avis peut être recueilli par divers moyens, selon le contexte (par ex. une étude générique en lien avec les finalités et les moyens de l’opération de traitement, un questionnaire soumis aux représentants du personnel, ou des enquêtes de type habituel envoyées aux futurs clients du responsable du traitement) 
  • En tout état de cause, le responsable du traitement doit s’assurer de s’appuyer sur une base juridique pour le traitement de toutes données à caractère personnel impliquées dans cette collecte d’avis.

A défaut, le responsable du traitement doit justifier toute décision de ne pas recueillir l’avis des personnes concernées s’il juge la démarche inappropriée, en estimant par exemple que cela compromettrait la confidentialité de plans d’affaires ou serait disproportionné ou irréalisable. On observera ici la subtilité du dispositif : le recueil de l’avis n’est pas une obligation absolue, mais une obligation à éclipses, dont le responsable peut s’affranchir — non point discrétionnairement, mais à la condition de motiver son abstention. La règle n’est donc pas « consulter ou s’abstenir librement », mais « consulter ou justifier de ne pas consulter ».

B) Objet de l’analyse d’impact

L’article 35 du RGPD prévoit qu’une seule et même analyse peut porter sur un ensemble d’opérations de traitement similaires qui présentent des risques élevés similaires. Cette faculté de mutualisation répond à un souci de réalisme : imposer une analyse distincte pour chaque traitement strictement identique multiplierait inutilement les diligences sans accroître la protection des personnes. Encore faut-il que la similarité soit double — similarité des opérations et similarité des risques —, faute de quoi l’unité de l’analyse masquerait des différences de risque que seule une étude propre à chaque traitement permettrait de révéler.

La CNIL illustre cette règle en prenant deux exemples :

• Des collectivités qui mettent chacune en place un système de vidéosurveillance similaire pourraient effectuer une seule analyse qui porterait sur ce système bien que celui-ci soit ultérieurement mis en œuvre par des responsables de traitements distincts 
• Un opérateur ferroviaire (responsable de traitement unique) pourrait effectuer une seule analyse d’impact sur le dispositif de la surveillance vidéo déployé dans plusieurs gares.

Ces deux illustrations recouvrent, en réalité, deux configurations distinctes. Dans la première, la mutualisation est horizontale : elle réunit plusieurs responsables différents autour d’un dispositif type. Dans la seconde, elle est verticale : un responsable unique couvre, par une seule analyse, une pluralité de sites mettant en œuvre un même dispositif. Dans les deux cas, c’est l’identité du dispositif et du profil de risque qui autorise l’économie de moyens.

C) Méthodologie de conduite de l’analyse d’impact

Pour la CNIL, l’analyse d’impact se décompose, au fond, en trois parties :

• Première partie
  • La description détaillée du traitement mis en œuvre, comprenant tant les aspects techniques qu’opérationnels 

• Deuxième partie
  • L’évaluation, de nature plus juridique, de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux (finalité, données et durées de conservation, information et droits des personnes, etc.) non négociables, qui sont fixés par la loi et doivent être respectés, quels que soient les risques 

• Troisième partie
  • L’étude, de nature plus technique, des risques sur la sécurité des données (confidentialité, intégrité et disponibilité) ainsi que leurs impacts potentiels sur la vie privée, qui permet de déterminer les mesures techniques et organisationnelles nécessaires pour protéger les données.

Cette tripartition révèle une articulation que l’on aurait tort de tenir pour purement formelle. Elle oppose, en effet, deux registres d’exigences de nature différente. La deuxième partie touche aux principes fondamentaux — finalité, minimisation, durée de conservation, droits des personnes —, lesquels sont non négociables : leur respect s’impose en toute hypothèse, indépendamment du niveau de risque, parce qu’ils découlent directement de la loi. La troisième partie touche, au contraire, à la maîtrise des risques de sécurité, domaine où le responsable dispose d’une marge d’appréciation et doit calibrer ses mesures à proportion du risque effectivement encouru. En somme, le premier registre relève de la conformité absolue, le second d’une gestion graduée. L’analyse d’impact est précisément le lieu où ces deux logiques se rencontrent.

La mise en œuvre de ces trois étapes doit répondre à une certaine méthodologie.

A cet égard, la CNIL préconise de suivre la méthodologie générale suivante :

• Délimiter et décrire le contexte du (des) traitement(s) considéré(s) 
• Analyser les mesures garantissant le respect des principes fondamentaux : la proportionnalité et la nécessité du traitement, et la protection des droits des personnes concernées 
• Apprécier les risques sur la vie privée liés à la sécurité des données et vérifier qu’ils sont convenablement traités 
• Formaliser la validation de l’analyse d’impact au regard des éléments précédents ou bien décider de réviser les étapes précédentes.

On relèvera que cette démarche n’est pas linéaire mais itérative : la dernière étape n’est pas une simple clôture, puisqu’elle ouvre l’alternative entre la validation de l’analyse et la reprise des étapes antérieures. L’analyse d’impact n’est donc pas un acte que l’on accomplit une fois pour toutes  elle est un processus susceptible de boucler sur lui-même, jusqu’à ce qu’un niveau de risque acceptable soit atteint. C’est, du reste, la traduction méthodologique du principe de protection des données dès la conception — la privacy by design —, qui veut que la maîtrise du risque soit intégrée en amont et révisée tout au long de la vie du traitement.

V) La communication de l’analyse d’impact à la CNIL

A) Principe

La communication de l’analyse d’impact à l’autorité de contrôle qu’est la CNIL n’est pas une obligation, à tout le moins le RGPD ne l’exige pas. Cette solution se comprend à la lumière de l’économie générale du règlement : le RGPD a substitué à la logique du contrôle a priori, qui caractérisait le régime des formalités préalables, une logique de responsabilisation a posteriori. Le responsable conduit son analyse, la conserve et la tient à disposition  il n’a, en principe, nul besoin de la soumettre par avance au visa de l’autorité. L’analyse d’impact relève ainsi, par défaut, de la documentation interne dont le responsable doit pouvoir justifier — et non d’un dossier qu’il devrait spontanément transmettre.

Comme tout principe celui-ci n’est, cependant, pas sans être assorti d’exceptions.

B) Exceptions

1) Énoncé des exceptions

L’analyse d’impact doit être communiquée à la CNIL pour consultation dans trois cas :

• Si le traitement présente un risque élevé d’atteinte aux droits et libertés de la personne concernée 
• La consultation de la CNIL est prévue par un texte spécifique 
• En cas de demande de la CNIL.

Ces trois exceptions n’ont pas le même fondement. La première a sa source dans le risque résiduel du traitement lui-même : c’est l’hypothèse, examinée ci-après, dite de la consultation préalable. La deuxième a sa source dans un texte spécial qui, par dérogation au droit commun, impose la consultation pour certaines catégories de traitements. La troisième, enfin, a sa source dans une initiative de l’autorité, qui peut toujours, dans l’exercice de ses pouvoirs, réclamer communication de l’analyse. Seule la première mérite, par sa complexité, un examen distinct.

Cas particulier du risque élevé d’atteinte pour les droits et libertés de la personne concernée

• Principe
  • L’article 36 du RGPD pris en son §1 prévoit que le responsable du traitement doit consulter l’autorité de contrôle préalablement au traitement lorsqu’une analyse d’impact relative à la protection des données effectuée au titre de l’article 35 indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque.

La condition de déclenchement de cette consultation préalable mérite d’être finement comprise, car elle ne se confond pas avec celle qui commande l’analyse d’impact elle-même. L’analyse est requise dès lors que le traitement est « susceptible d’engendrer un risque élevé »  la consultation, quant à elle, ne s’impose que lorsque ce risque demeure élevé en dépit des mesures d’atténuation envisagées. Autrement dit, la consultation n’est pas le prolongement automatique de l’analyse : elle n’intervient qu’au terme de celle-ci, et seulement si le responsable, malgré toutes les garanties qu’il a pu prévoir, ne parvient pas à ramener le risque à un niveau acceptable. C’est le risque résiduel, et non le risque brut, qui commande le recours à l’autorité.

• Mise en œuvre
  • En cas de consultation de la CNIL sur ce fondement, le responsable du traitement doit lui communiquer :
    • Le cas échéant, les responsabilités respectives du responsable du traitement, des responsables conjoints et des sous-traitants participant au traitement, en particulier pour le traitement au sein d’un groupe d’entreprises 
    • Les finalités et les moyens du traitement envisagé 
    • Les mesures et les garanties prévues afin de protéger les droits et libertés des personnes concernées en vertu du présent règlement 
    • Le cas échéant, les coordonnées du délégué à la protection des données 
    • L’analyse d’impact relative à la protection des données prévue à l’article 35 
    • Toute autre information que l’autorité de contrôle demande.

• Décision
  • Lorsque l’autorité de contrôle est d’avis que le traitement envisagé constituerait une violation du RGPD, en particulier lorsque le responsable du traitement n’a pas suffisamment identifié ou atténué le risque, l’autorité de contrôle fournit par écrit, dans un délai maximum de huit semaines à compter de la réception de la demande de consultation, un avis écrit au responsable du traitement et, le cas échéant, au sous-traitant, et peut faire usage des pouvoirs visés à l’article 58 (pouvoir d’enquête et d’injonction).
  • Ce délai peut être prolongé de six semaines, en fonction de la complexité du traitement envisagé.
  • L’autorité de contrôle informe le responsable du traitement et, le cas échéant, le sous-traitant de la prolongation du délai ainsi que des motifs du retard, dans un délai d’un mois à compter de la réception de la demande de consultation.
  • Ces délais peuvent être suspendus jusqu’à ce que l’autorité de contrôle ait obtenu les informations qu’elle a demandées pour les besoins de la consultation.

Il importe de bien mesurer la portée de cet avis. L’autorité de contrôle ne délivre pas une autorisation au sens de l’ancien régime : son silence à l’expiration des délais ne vaut pas approbation, et son avis écrit ne lie pas le responsable en ce sens qu’il ne le prive pas de la faculté de mettre en œuvre le traitement. Mais passer outre un avis défavorable n’est pas sans péril : l’autorité dispose, sur le fondement de l’article 58, d’un arsenal de pouvoirs — d’enquête comme d’injonction, pouvant aller jusqu’à la limitation, voire l’interdiction du traitement. La consultation préalable n’est donc pas un visa formel, mais l’amorce d’un dialogue dont le responsable s’écarte à ses risques et périls. On retrouve ici l’équilibre caractéristique du RGPD : une liberté d’action assortie d’une responsabilité pleine et entière.