Analyses d'impact sur la protection des données selon le RGPD

Qu'est-ce qu'une AIPD ?

La AIPD (Analyse d'Impact sur la Protection des Données) a pour but d'aider les organisations à identifier, analyser et limiter les risques liés aux activités de traitement des données. Elles sont particulièrement importantes lors de la mise en place de nouveaux systèmes, technologies et procédures de traitement des données.

Pourquoi les AIPD sont-elles importantes ?

Les AIPD sont une exigence légale du règlement général sur la protection des données (RGPD) pour le traitement de données susceptible de présenter un « risque élevé ». Vous devez réaliser une AIPD lorsque cela est nécessaire, sous peine de faire face à des mesures coercitives. Cela peut inclure une amende pouvant atteindre 2% du chiffre d’affaires global annuel de votre organisation ou 10 millions d’euros - le montant le plus élevé étant retenu.

Les AIPD appuyent le principe de responsabilité du RGPD, aidant les organisations à démontrer leur conformité. La réalisation d'une AIPD peut également contribuer à sensibiliser davantage une entreprise aux problèmes de confidentialité et de protection des données.

En savoir plus sur les amendes et sanctions liées au RGPD >>

Les éléments clés d'un AIPD réussie

Le RGPD ne précise pas quel procédure de AIPD doit être suivie mais permet aux organisations de mettre en place un cadre de travail correspondant à leurs activités existantes.

Lorsque vous décider de lancer votre projet de mise en conformité avec le RGPD, il est important de déterminer si vous avez à votre disposition les formations, les ressources et l'expertise nécessaires afin de répondre aux exigences du AIPD. IT Governance Europe peut vous aider à faire face à vos faiblesse grâce à ses kits de documentations et services de conseil.

Les éléments clés d'une AIPD réussie sont :

Identifier si la AIPD est nécessaire ;
Définir les caractéristiques du projet afin de permettre l'évaluation des risques ;
Identifier les risques liés à la protection des données ;
Identifier les solutions de protection des données permettant de limiter ou d'éliminer les risques ;
Valider les résultats de la AIPD ;
Intégrer les solutions de protection des données au projet.
Le règlement stipule également que les autorités nationales de protection des données doivent rendre publique une liste du type de traitement soumis à ces exigences..

En outre, le RGPD prévoit que chaque autorité de surveillance doit fournir des indications supplémentaires sur les activités de traitement nécessitant une AIPD et sur celles qui n'en nécessitent pas.

Quand une AIPD est-elle nécessaire ?

Une AIPD doit être menée aussi tôt que possible lors d'un nouveau projet afin que les résultats et recommandations puissent être comprises dans la création de la procédure de traitement.

Connu sous le nom de "protection de la vie privée dès la conception" ou "privacy by design", l'intégration des fonctionnalités de confidentialité des données dès les étapes de création du projet peuvent avoir les bénéfices suivants :

Les problèmes sont identifiés dès le lancement du projet.
Gérer les problèmes dès le départ s'avère souvent plus facile et plus économique.
Cela permet de sensibiliser le personnel sur les sujets de confidentialité et de protection des données.
Les organisations sont moins susceptibles d'enfreindre le règlement.
Cela permet de limiter les impacts négatifs sur les individus.

Que signifie « vie privée dès la conception » ?

Les AIPD font partie intégrante d'une approche de respect de la vie privée dès la conception.

La protection de la vie privée dès la conception signifie que les problèmes de confidentialité sont pris en compte et intégrés dans la conception d’un programme dès le début.

Qui doit être impliqué dans une AIPD ?

Les responsables du traitement doivent s'assurer que les AIPD sont menées correctement.

Les AIPD doivent être menées par des personnes ayant l'expertise et les connaissances appropriées sur le projet en question, en général il s'agit de l'équipe de projet. Si votre organisation ne dispose pas du personnel ayant l'expertise et l'expérience suffisante, vous pouvez demander l'aide de spécialistes en externe qui pourront vous aider avec votre DPI ou avec vos audits.

Selon le RGPD, toute organisation ayant désigné son DPO (délégué à la protection des données) doit suivre ses conseils. Les conseils et décisions prises doivent être documentées dans le processus de la AIPD.

Exemples de traitement des données personnelles nécessitant une AIPD

Un hôpital traitant les données génétiques et de santé de ses patients.
Archiver les données sensibles pseudonymisées d'un projet de recherche ou d'essais cliniques.
Une organisation utilisant un système d'analyse vidéo intelligent afin de distinguer des voitures et de reconnaitre automatiquement leur plaque d'immatriculation.
Une entreprise contrôlant de manière systématique les activités de ses employés, y compris leur poste de travail et activités internet.
La collecte de données publiques sur les réseaux sociaux afin de créer des profiles.
Une institution créant une base de données sur les fraudes.

L'Article 29 du Working Party UE (WP29), dans ses directives sur les AIPD, indique les critères à prendre en compte lorsqu'une organisation détermine les risques liés aux opérations de traitement. Plus l'activité de traitement répond à ces critères, plus elle représente un risque élevé pour les droits et libertés des individus et requière alors une AIPD.

Lire les directives WP29 sur la AIPD >>