Analyse d'impact
Analyse d'impact : évaluer les risques d'un traitement
L'analyse d'impact relative à la protection des données évalue les risques qu'un traitement fait peser sur les personnes concernées. Elle devient obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et les libertés de ces personnes.
Quand une analyse d’impact est obligatoire
| Situation | Pourquoi le risque est élevé |
|---|---|
| Évaluation systématique de personnes | Notation, profilage, prédiction |
| Traitement à grande échelle de données sensibles | Santé, convictions, biométrie |
| Surveillance systématique d’un lieu public | Absence de choix pour les personnes |
| Croisement de plusieurs sources | Effet cumulatif imprévu |
| Décision automatisée à effet juridique | Refus de crédit, de location |
En marketing courant, le profilage à grande échelle est le cas qui déclenche le plus souvent l’obligation.
Ce qu’une analyse d’impact doit contenir
Une description du traitement et de ses finalités. Une évaluation de sa nécessité et de sa proportionnalité. Une appréciation des risques pour les personnes. Et les mesures prévues pour y répondre.
L’avis du délégué à la protection des données figure au dossier lorsqu’il en existe un.
La suite à donner
Si le risque reste élevé malgré les mesures envisagées, l’autorité de contrôle doit être consultée avant le lancement. Cette consultation est rare, et son absence dans un cas qui l’exigeait constitue un manquement grave.
Ce que l’analyse d’impact n’autorise pas
Un traitement disproportionné. Documenter un risque ne le rend pas acceptable, et l’analyse peut conclure qu’il faut renoncer.
Les confusions fréquentes et ce qui les sépare
- Étude d'impact environnemental
- L'étude d'impact au sens courant relève du droit de l'environnement. Ici, l'analyse porte uniquement sur les données personnelles.
- Audit de conformité
- L'audit vérifie l'existant. L'analyse d'impact s'anticipe, avant la mise en oeuvre d'un traitement nouveau.
Mis à jour le