quand suis-je obligé de réaliser une analyse d'impact relative à la protection des données

Une AIPD est obligatoire en cas de traitement à haut risque

Une AIPD — une analyse d'impact relative à la protection des données — est obligatoire lorsqu'un traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes dont les données sont traitées. Il ne s'agit pas d'une liste fixe d'activités identiques partout, mais d'une évaluation qui commence par la nature, l'ampleur, le contexte et la finalité du traitement. Le traitement à grande échelle de données sensibles, la surveillance structurelle et systématique des personnes dans un lieu accessible au public, et les traitements aboutissant à des décisions automatisées ayant des conséquences importantes, sont des exemples souvent cités comme des situations où un risque élevé est probable.

Pour un travailleur indépendant ordinaire ou une PME qui tient à jour des données clients, des données de personnel ou un système comptable, une AIPD obligatoire n'est généralement pas d'actualité — ces traitements ne sont généralement pas à grande échelle ou systématiques au point d'être considérés comme à haut risque. Dès qu'il y a traitement, par exemple, de données de santé à plus grande échelle, de vidéosurveillance d'espaces publics, ou de profilage ayant des conséquences pour les individus, le tableau change. Celui qui doute qu'un traitement entre dans cette catégorie peut étayer cette évaluation au mieux à partir du même aperçu qui est également le registre des traitements est constitué : pour chaque traitement, sont alors déjà précisés la finalité, l'ampleur et les données en cause, et ce sont précisément les informations dont une évaluation des risques a besoin.

Sur quoi cela repose : article 6 RGPD et l'autorité de contrôle

L'obligation de réaliser une AIPD découle du RGPD et est liée à la base légale de l'article 6 RGPD : ce n'est que si une base légale du traitement a déjà été établie que la question de suivi devient pertinente : savoir si ce traitement comporte également un risque élevé. Les autorités de contrôle fournissent alors des précisions supplémentaires sur les traitements qui, dans la pratique, sont considérés comme à haut risque ; aux Pays-Bas, l'Autorité néerlandaise pour la protection des données le fait avec ses propres listes et explications, tandis que l'autorité de contrôle d'un autre État membre peut appliquer une liste légèrement différente — ce qui reste identique partout, c'est la norme de la régulation elle-même, ce qui diffère, c'est l'application nationale de quels traitements y sont soumis. Celui qui doute que son entreprise, en raison de l'ampleur du traitement, a besoin d'un délégué à la protection des données distinct, trouve un point de départ dans l'explication sur l'obligation du dpd, car ces deux questions — AIPD et dpd — sont souvent liées à la même ampleur et à la même évaluation des risques du traitement.