Une DPIA, ou analyse d'impact relative à la protection des données, est une analyse de risque que vous effectuez préalablement lorsqu'un traitement de données à caractère personnel est susceptible de présenter un risque élevé pour les personnes dont les données sont traitées. Le RGPD n'impose pas cette analyse pour chaque traitement, mais spécifiquement pour les traitements qui, de par leur nature, leur ampleur, leur contexte ou leur finalité, peuvent avoir un impact significatif — pensez à la surveillance à grande échelle, au profilage systématique ou au traitement de catégories particulières de données comme les données de santé à grande échelle.
Que votre entreprise doive réaliser une DPIA dépend de ce que vous faites exactement avec les données, non de la taille de votre entreprise. Un travailleur indépendant qui installe des caméras à petite échelle dans un magasin échappe généralement à cette obligation ; une PME qui analyse à grande échelle le comportement des clients avec un logiciel d'IA ou qui examine les candidats se rapproche davantage de l'obligation d'une DPIA. L'Autorité néerlandaise pour la protection des données publie une liste des traitements pour lesquels cette analyse est, selon elle, toujours nécessaire ; cette liste est un bon point de départ pour déterminer si votre situation s'y ajoute.
Quand cela s'applique-t-il aux PME
La plupart des PME échappent à une DPIA formelle, simplement parce que leurs traitements n'ont pas l'ampleur ou le niveau de risque que le RGPD envisage. Néanmoins, il existe des situations où la question devient pertinente : l'introduction de vidéosurveillance avec reconnaissance faciale, l'utilisation d'un nouvel outil d'IA qui prend automatiquement des décisions concernant les clients ou les employés, ou l'expansion d'un logiciel existant par lequel vous commencez soudainement à collecter des données à une échelle beaucoup plus grande qu'auparavant.
Ce n'est donc pas tant le secteur qui détermine si une DPIA est nécessaire, mais le changement dans ce que vous faites. Un département RH qui adopte un outil de recrutement avec un tri automatisé des CV ferait bien de se demander si ce changement répond aux critères. Il en va de même pour un gestionnaire de bureau qui envisage de déployer un nouvel outil SaaS qui suit le comportement des visiteurs sur le site web et les combine avec d'autres sources de données.
Ce qu'une DPIA doit contenir
Une DPIA décrit de manière systématique ce qui se passe : quelles données sont traitées, dans quel but, sur quel fondement juridique, et qui a accès aux données. Ensuite, l'analyse cartographie les risques pour les personnes concernées — ce qui peut mal tourner, et quelle est la probabilité et l'impact de cela. La dernière partie est la mesure : quelles étapes techniques ou organisationnelles sont prises pour réduire ces risques, et reste-t-il, après ces mesures, un risque qui ne peut pas être éliminé.
Ce dernier point est important : si une DPIA révèle qu'il subsiste un risque élevé même après les mesures, le RGPD stipule que vous devez le soumettre à l'autorité de contrôle avant de commencer le traitement. C'est une exception, pas une étape standard, mais c'est la raison pour laquelle une DPIA n'est pas quelque chose que vous pouvez simplement remplir rétroactivement.
La relation avec le registre des traitements
Une DPIA n'existe pas isolément du reste de votre documentation relative au RGPD. Le traitement pour lequel vous effectuez l'analyse doit également avoir une place dans la base de connaissances où les risques sont détaillés par traitement, afin qu'il soit clair quels traitements nécessitent une attention particulière et lesquels ne la nécessitent pas. Ceux qui ont déjà mis en ordre le registre des traitements voient souvent d'eux-mêmes quels traitements, en termes d'ampleur ou de sensibilité, se rapprochent davantage du seuil d'une DPIA que d'autres.
C'est aussi un bon moment pour vérifier les contrats de traitement qui se rapportent à ce traitement : une partie externe qui traite les données pour lesquelles vous envisagez une AIPD est souvent aussi la partie chez qui les plus grands risques se produisent si quelque chose tourne mal. Tout comme en cas de violation de données potentielle, il est utile de savoir à l'avance où vous en êtes plutôt que d'avoir à découvrir après coup exactement ce qui a été convenu.
Et si vous hésitez
La limite entre « probablement pas d'AIPD nécessaire » et « mieux vaut d'abord analyser » n'est pas toujours nette, et le RGPD laisse ici délibérément place à votre propre évaluation. En cas de doute, il est recommandé de consulter les orientations de l'Autorité néerlandaise de protection des données ou de demander à un juriste d'examiner votre situation spécifique. Cette page décrit la ligne générale du règlement ; elle ne remplace pas cet avis.
Voulez-vous d'abord avoir une impression de la façon dont vos propres traitements se rapportent à l'évaluation des risques utilisée par le RGPD ? Faites l'analyse rapide gratuite ou parcourez les questions fréquemment posées sur le registre et sa surveillance pour voir quelle étape convient le mieux à votre entreprise.