RGPD et analyse d’impact : la CNIL fixe sa doctrine

La CNIL poursuit son œuvre p&eacute;dagogique en mati&egrave;re d&rsquo;analyse d&rsquo;impact s&rsquo;agissant des traitements de donn&eacute;es personnelles les plus risqu&eacute;s. Apr&egrave;s avoir diffus&eacute; en f&eacute;vrier 2018 un document intitul&eacute; &laquo; Analyse d&rsquo;impact relative &agrave; la protection des donn&eacute;es &ndash; Privacy Impact Assessment (PIA) &ndash; Les bases de connaissances &raquo; [1] , celle vient de publier deux d&eacute;lib&eacute;rations sur ce sujet. Tout d&rsquo;abord, par une d&eacute;lib&eacute;ration n&deg; 2018-326 du 11 octobre 2018 (JO du 6 novembre), la CNIL fixe des principes g&eacute;n&eacute;raux sur le p&eacute;rim&egrave;tre des analyses d&rsquo;impact relatives &agrave; la protection des donn&eacute;es (AIPD), sur le mode op&eacute;ratoire et le p&eacute;rim&egrave;tre de l&rsquo;obligation de porter &agrave; sa connaissance les r&eacute;sultats d&rsquo;une AIPD. Par une seconde d&eacute;lib&eacute;ration, n&deg; 2018-327 du m&ecirc;me jour [2] , la CNIL livre une liste de traitements devant n&eacute;cessairement donner lieu &agrave; une analyse d&rsquo;impact relative &agrave; la vie priv&eacute;e (AIPD). I. G&eacute;n&eacute;ralit&eacute;s La d&eacute;lib&eacute;ration n&deg; 2018-326 pr&eacute;cise le p&eacute;rim&egrave;tre de l&rsquo;obligation de conduire une analyse d&rsquo;impact, les conditions de r&eacute;alisation et indique que des r&eacute;f&eacute;rentiels sectoriels sont &agrave; venir et que, certains d&rsquo;entre eux, produiront des effets juridiques, exon&eacute;rant de la r&eacute;alisation d&rsquo;AIPD &laquo; les responsables de traitement qui s&rsquo;y conformeraient strictement &raquo;. Par ailleurs, cette d&eacute;lib&eacute;ration rappelle les types de traitement soumis obligatoirement &agrave; analyse d&rsquo;impact au sens de l&rsquo;article 35-1 du RGPD (profilage automatis&eacute;, traitement &agrave; grande &eacute;chelle de donn&eacute;es sensibles et vid&eacute;oprotection dans les zones accessibles au public), ainsi que les 9 crit&egrave;res retenus par le G29 [3] pour d&eacute;terminer si un traitement est susceptible d&rsquo;engendrer un risque &eacute;lev&eacute; pour les personnes (cf. tableau 1) Pour le G29, c&rsquo;est lorsque deux de ces crit&egrave;res sont remplis qu&rsquo;une analyse d&rsquo;impact doit &ecirc;tre men&eacute;e, cependant, un seul peut parfois suffire au regard du traitement envisag&eacute;. Il sera cependant possible de s&rsquo;&eacute;carter de la recommandation ci-dessus dans certains cas de figure si le responsable de traitement prouve, de mani&egrave;re document&eacute;e que, m&ecirc;me en pr&eacute;sence de deux des crit&egrave;res mentionn&eacute;s ci-dessus, il n&rsquo;existe pas de &laquo; risque &eacute;lev&eacute; &raquo; [4] . Cet article 35-1 pr&eacute;voit &eacute;galement que le responsable doit effectuer une AIPD lorsqu&rsquo;un traitement est susceptible d&rsquo;engendrer &laquo; un risque &eacute;lev&eacute; pour les droits et libert&eacute;s des personnes physiques &raquo;. On soulignera que le consid&eacute;rant 75 du RGPD vise express&eacute;ment les cas de profilage parmi les types de traitements pour lesquels une analyse d&rsquo;impact peut &ecirc;tre exig&eacute;e. La d&eacute;lib&eacute;ration pr&eacute;cise que les traitements r&eacute;guli&egrave;rement mis en œuvre avant le 25 mai 2018 n&rsquo;ont pas &agrave; faire l&rsquo;objet d&rsquo;une analyse d&rsquo;impact dans un d&eacute;lai de 3 ans, &agrave; moins d&rsquo;une modification substantielle, sans toutefois pr&eacute;ciser ce qu&rsquo;est une modification substantielle. Une d&eacute;cision de transfert de donn&eacute;es hors UE, ou bien une modification de la finalit&eacute;, ou bien encore l&rsquo;apparition de l&rsquo;un des neuf crit&egrave;res du G29 peuvent constituer des indices pertinents. Concernant les conditions de r&eacute;alisation de l&rsquo;analyse d&rsquo;impact, la CNIL exige qu&rsquo;elle soit men&eacute;e avant la mise en œuvre du traitement et qu&rsquo;elle soit revue r&eacute;guli&egrave;rement (au plus tard tous les 3 ans). Cette analyse d&rsquo;impact doit au moins &ecirc;tre faite en pr&eacute;sence du DPO, du RSSI, des sous-traitants concern&eacute;s, de repr&eacute;sentants des personnes concern&eacute;es et du ma&icirc;tre d&rsquo;ouvrage/ma&icirc;tre d&rsquo;œuvre. Chaque &eacute;tape doit &ecirc;tre document&eacute;e et, en cas de risque r&eacute;siduel, la CNIL devra &ecirc;tre saisie. La D&eacute;lib&eacute;ration &eacute;tablit une liste des traitements pour lesquels une analyse d&rsquo;impact est obligatoire, notamment pour le profilage &agrave; des fins de gestion RH, la gestion des alertes et signalements en mati&egrave;re professionnelle ou encore la localisation &agrave; large &eacute;chelle. Cette liste sera r&eacute;guli&egrave;rement mise &agrave; jour par la CNIL. Les AIPD pourront, en application des articles 58 du RGPD et 44 de la loi du 6 janvier 1978, &ecirc;tre demand&eacute;es aux responsables de traitement, notamment dans le cadre de l&rsquo;instruction des plaintes dont elle serait saisie ou dans le cadre du contr&ocirc;le de la mise en œuvre des traitements. Lorsqu&rsquo;il ressort d&rsquo;une AIPD que le responsable du traitement est d&rsquo;avis que le risque ne peut &ecirc;tre att&eacute;nu&eacute; par des moyens raisonnables compte tenu des techniques disponibles et des co&ucirc;ts de mise en œuvre, il y a lieu de consulter l&rsquo;autorit&eacute; de contr&ocirc;le avant le d&eacute;but des op&eacute;rations de traitement [5] . II. D&eacute;lib&eacute;ration n&deg; 2018-326 &ndash; Liste CNIL des traitements soumis &agrave; AIPD Dans la &laquo; liste des types d&rsquo;op&eacute;rations de traitement pour lesquelles une analyse d&rsquo;impact relative &agrave; la protection des donn&eacute;es est requise &raquo; publi&eacute;e par la CNIL en marge de la sa d&eacute;lib&eacute;ration du 11 octobre 2018, certains concernent plus particuli&egrave;rement les activit&eacute;s bancaires. Les principaux sont pr&eacute;sent&eacute;s dans le Tableau 2. 1 https://www.cnil.fr/sites/default/files/atoms/files/cnil-pia-3-fr-basesdeconnaissances.pdf. 2 D&eacute;lib&eacute;ration n&deg; 2018-327 du 11 octobre 2018 portant adoption de la liste des types d&rsquo;op&eacute;rations de traitement pour lesquelles une analyse d&rsquo;impact relative &agrave; la protection des donn&eacute;es est requise. 3 Lignes directrices concernant l&rsquo;analyse d&rsquo;impact relative &agrave; la protection des donn&eacute;es (AIPD) et la mani&egrave;re de d&eacute;terminer si le traitement est &laquo; susceptible d&rsquo;engendrer un risque &eacute;lev&eacute; &raquo; aux fins du r&egrave;glement (UE) 2016/679. Adopt&eacute;es le 4 avril 2017 modifi&eacute;es et adopt&eacute;es en dernier lieu le 4 octobre 2017. 4 Lignes directrices, p. 13. 5 Consid&eacute;rant 94 du RGPD.

RECHERCHEZ UN ARTICLE, UNE CHRONIQUE, PARMI L'ENSEMBLE DES PUBLICATIONS

RECHERCHEZ UN AUTEUR

Espace Banque & Droit

Chronique Nouveaux moyens de paiement, banque digitale et protection des données

RGPD et analyse d’impact : la CNIL fixe sa doctrine

À retrouver dans la revue

Capital-investissement

« Plus de 35 milliards d’euros seront investis dans les fonds labellisés non cotés »

Macro-économie

Non-résidents, ménages et banques en relais de l’Eurosystème

Banque de détail

Sarah Bouquerel : « La bancassurance est le modèle gagnant »

Comptabilité/Trésorerie

Les enjeux de l’open finance : quelles opportunités pour le cash management ?

Espace Banque & Droit

Sanction ACPR du 12 décembre 2023 envers un établissement de monnaie électronique (EME) (blâme et sanction pécuniaire de 100 000 euros)

Espace Banque & Droit

La Commission des sanctions de l’AMF sanctionne l’ancien président du directoire d’une société cotée
qui n’avait pas rendu publique
dès que possible une information privilégiée et avait omis de déclarer un franchissement de seuil

Espace Banque & Droit

La Cour de cassation rejette le pourvoi formé par une agence de presse sanctionnée pour manipulation
de marché par diffusion de fausses informations

Suivez-nous

RECHERCHEZ UN ARTICLE, UNE CHRONIQUE, PARMI L'ENSEMBLE DES PUBLICATIONS

RECHERCHEZ UN AUTEUR

Chronique Nouveaux moyens de paiement, banque digitale et protection des données

RGPD et analyse d’impact : la CNIL fixe sa doctrine

À retrouver dans la revue

« Plus de 35 milliards d’euros seront investis dans les fonds labellisés non cotés »

Non-résidents, ménages et banques en relais de l’Eurosystème

Sarah Bouquerel : « La bancassurance est le modèle gagnant »

Les enjeux de l’open finance : quelles opportunités pour le cash management ?

Sanction ACPR du 12 décembre 2023 envers un établissement de monnaie électronique (EME) (blâme et sanction pécuniaire de 100 000 euros)

La Commission des sanctions de l’AMF sanctionne l’ancien président du directoire d’une société cotée qui n’avait pas rendu publique dès que possible une information privilégiée et avait omis de déclarer un franchissement de seuil

La Cour de cassation rejette le pourvoi formé par une agence de presse sanctionnée pour manipulation de marché par diffusion de fausses informations

La Commission des sanctions de l’AMF sanctionne l’ancien président du directoire d’une société cotée
qui n’avait pas rendu publique
dès que possible une information privilégiée et avait omis de déclarer un franchissement de seuil

La Cour de cassation rejette le pourvoi formé par une agence de presse sanctionnée pour manipulation
de marché par diffusion de fausses informations