Quand le RGPD exige une AIPD, et comment en faire une qui tienne

Une analyse d'impact relative à la protection des données est la réponse du RGPD à une question simple : avant de traiter des données personnelles d'une façon qui peut sérieusement affecter des personnes, vous êtes-vous arrêté pour réfléchir, et pouvez-vous le prouver. L'article 35 la rend obligatoire lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les personnes concernées. L'article 83 fait de l'absence d'AIPD requise une infraction du palier inférieur, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

L'obligation est bien connue et inégalement respectée. La plupart des organisations font soit beaucoup trop d'AIPD, transformant un outil de risque en réflexe de formulaire, soit aucune, parce que personne n'a décidé qui les déclenche. Voici comment le décider, et comment en écrire une qu'une autorité de contrôle ou un auditeur acceptera.

Quand elle est obligatoire

L'article 35, paragraphe 3, nomme trois cas explicitement : le profilage systématique et approfondi produisant des effets juridiques ou similaires ; le traitement à grande échelle de catégories particulières de données ou de données relatives aux infractions ; et la surveillance systématique à grande échelle d'une zone accessible au public.

Au-delà, le groupe de travail Article 29 (aujourd'hui le CEPD) a posé neuf critères dans ses lignes directrices de 2017, et la règle empirique est qu'un traitement qui en remplit deux ou plus présente probablement un risque élevé :

1. Évaluation ou notation, y compris le profilage et la prédiction.
2. Décisions automatisées produisant des effets juridiques ou similaires.
3. Surveillance systématique.
4. Données sensibles ou données à caractère hautement personnel.
5. Traitement de données à grande échelle.
6. Croisement ou combinaison d'ensembles de données d'une façon que les personnes n'attendraient pas.
7. Données concernant des personnes vulnérables : enfants, salariés, patients, demandeurs d'asile.
8. Utilisation innovante ou application de nouvelles solutions techniques ou organisationnelles.
9. Traitement qui empêche les personnes d'exercer un droit ou de bénéficier d'un service ou d'un contrat.

Chaque autorité de contrôle publie aussi, au titre de l'article 35, paragraphe 4, une liste d'opérations de traitement qui exigent toujours une AIPD dans son ressort, et certaines une liste d'opérations qui n'en exigent pas. Vérifiez les listes des autorités dont vous dépendez ; elles diffèrent.

Deux exemples rendent les critères concrets. Un système RH qui note les candidats avec un algorithme remplit les critères 1, 2 et 7 : AIPD requise. Un outil de newsletter avec quelques milliers d'adresses e-mail n'en remplit aucun : pas requise, même si une courte note justifiant la conclusion reste une bonne pratique.

Ce qu'une AIPD doit contenir

L'article 35, paragraphe 7, fixe le contenu minimal :

• Une description systématique du traitement et de ses finalités, y compris, le cas échéant, l'intérêt légitime invoqué.
• Une évaluation de la nécessité et de la proportionnalité du traitement au regard des finalités.
• Une évaluation des risques pour les droits et libertés des personnes concernées.
• Les mesures envisagées pour faire face aux risques, y compris les garanties et mécanismes qui assurent la protection et démontrent la conformité.

Le responsable du traitement doit demander conseil au délégué à la protection des données s'il en a désigné un (paragraphe 2) et, le cas échéant, recueillir l'avis des personnes concernées ou de leurs représentants (paragraphe 9). Pour les deux, un auditeur veut voir des preuves.

Une structure qui fonctionne

Les meilleures AIPD se lisent comme un récit, pas comme un tableau. Une structure que les autorités de contrôle ont acceptée de façon répétée :

1. Description. Quelles données, sur qui, d'où, dans quel but, partagées avec qui, conservées combien de temps, sur quelle base légale. Un schéma des flux de données mérite sa place ici. Nommez les sous-traitants et les transferts hors UE.

2. Nécessité et proportionnalité. Pourquoi ce traitement, et pourquoi à cette échelle. La finalité pourrait-elle être atteinte avec moins de données, une conservation plus courte, moins de croisements. Que savent les personnes, et comment exercent-elles leurs droits. C'est sur cette section que la plupart des AIPD faibles échouent, parce qu'elles décrivent le traitement sans le remettre en question.

3. Évaluation des risques. Pour chaque risque pour les personnes (pas pour l'organisation), la vraisemblance et la gravité, et le niveau qui en découle. Risques à envisager : accès non autorisé, perte, données inexactes conduisant à de mauvaises décisions, discrimination, perte de contrôle, effets dissuasifs, atteinte physique. Utilisez une échelle que vous pouvez appliquer de façon cohérente, et consignez le raisonnement, pas seulement le chiffre.

4. Mesures. Pour chaque risque significatif, ce que vous faites contre lui et quel risque résiduel subsiste ensuite. Les mesures sont les contrôles techniques, la minimisation des données, la pseudonymisation, les durées de conservation, le contrôle d'accès, la transparence et l'examen humain des décisions automatisées.

5. Conclusion et validation. L'avis du DPO, la décision prise, qui l'a approuvée et la date de revue. Si le risque résiduel reste élevé, l'article 36 exige une consultation préalable de l'autorité de contrôle avant le début du traitement, et l'autorité dispose de huit semaines, prolongeables, pour répondre.

La garder vivante

Une AIPD n'est pas un acte unique. L'article 35, paragraphe 11, exige une révision lorsque le risque lié au traitement change. En pratique, cela veut dire qu'on rouvre l'AIPD quand la finalité change, quand de nouvelles données ou de nouvelles personnes concernées s'ajoutent, quand un nouveau sous-traitant ou un nouveau transfert est introduit, quand un incident révèle un risque négligé ou quand la technologie change. Une date de revue dans le document et une étape dans la gestion des changements qui demande « cela touche-t-il une AIPD » sont la façon de tenir l'obligation sans compter sur la mémoire.

Ce qu'un audit vérifie

Un audit RGPD, le critère vie privée d'un SOC 2 ou l'extension vie privée ISO 27701 à 27001 regardent tous les AIPD de la même façon :

• Existe-t-il une procédure de pré-évaluation documentée qui décide quand une AIPD est requise, et est-elle appliquée ? L'auditeur choisit des projets récents et vérifie que la pré-évaluation a eu lieu.
• Chaque AIPD contient-elle les éléments de l'article 35, paragraphe 7, et la section sur la nécessité est-elle plus qu'une répétition de la description ?
• Le DPO a-t-il été impliqué, et son avis est-il consigné ?
• Les mesures sont-elles réellement mises en place ? L'auditeur suit une mesure jusque dans le système ou le processus et l'y cherche.
• Là où le risque résiduel était élevé, l'autorité a-t-elle été consultée ?
• Les AIPD sont-elles revues, et y a-t-il un lien avec la gestion des changements ?

Le dernier point est le plus souvent négligé. Une pile d'AIPD bien écrites datant de l'année d'entrée en application du RGPD, aucune revue depuis, dit à l'auditeur que le processus a tourné une fois puis s'est arrêté.

La version courte

Pré-évaluer tout, évaluer correctement la minorité à risque élevé, remettre en question la nécessité aussi fermement que vous décrivez le traitement, impliquer le DPO, mettre en place les mesures que vous avez écrites et réviser quand quelque chose change. Faite ainsi, l'AIPD n'est pas de la paperasse ; c'est la preuve que vous avez pris une décision réfléchie, et c'est exactement ce que le règlement et quiconque vous audite face à lui veulent voir.