AIPD RGPD : structurer l’analyse des risques et les mesures de protection des données

Lecture rapide

La méthode PIA de la CNIL s’appuie sur trois guides : démarche, modèles de formalisation et bases de connaissances. Celles-ci recensent typologies de données, supports, sources de risques, échelles de gravité et de vraisemblance, menaces d’accès illégitime, de modification ou de disparition, ainsi que des mesures comme anonymisation, archivage, chiffrement, contrôle d’intégrité, gestion des risques et organisation « Informatique et libertés ».

Analyse juridique

1. PIA, bases de connaissances et analyse d’impact relative à la protection des données

1.1 Le document « PIA, les bases de connaissances – Édition février 2018 » s’inscrit dans la méthode de la CNIL pour l’analyse d’impact relative à la protection des données (AIPD ou Privacy Impact Assessment, Data Protection Impact Assessment). Il constitue un catalogue de mesures et d’exemples destiné à traiter les risques pesant sur la vie privée et, plus largement, sur les libertés et droits fondamentaux des personnes concernées, tels que définis notamment par le RGPD, les articles 7 et 8 de la Charte-UE et l’article 1 de la Loi-I&L (« vie privée, identité humaine, droits de l’homme et libertés individuelles ou publiques »).

1.2 Le document rappelle que l’acronyme « PIA » est utilisé indifféremment pour étude d’impact sur la vie privée (EIVP), analyse d’impact relative à la protection des données et DPIA. Il précise également que les références entre crochets ([libellé]) renvoient à une bibliographie structurée, incluant notamment la [Loi‑I&L] et la [Directive‑95‑46].

1.3 La méthode CNIL est composée de trois guides : un guide de démarche, des modèles pour formaliser l’étude, et ces bases de connaissances qui détaillent des mesures de conformité et de sécurité. Ces bases couvrent un spectre très large : typologie de données à caractère personnel, typologie de supports de données, typologie de sources de risques, échelles de gravité et de vraisemblance, menaces sur la confidentialité, l’intégrité et la disponibilité, ainsi que des mesures thématiques comme l’anonymisation, l’archivage, le chiffrement, le contrôle d’accès, la gestion des incidents, la traçabilité ou encore la sécurité des canaux informatiques et des documents papier.

1.4 L’objectif global est de fournir un référentiel opérationnel pour structurer une AIPD RGPD : identifier les données à caractère personnel, les supports et sources de risques, évaluer la gravité et la vraisemblance des événements redoutés, puis sélectionner et prioriser les mesures de protection des données (techniques, organisationnelles, juridiques) dans un plan d’action.

2. Typologie de données à caractère personnel et supports de données

2.1 La section 1.1 Typologie de données à caractère personnel distingue plusieurs types de données : les DCP courantes, les DCP perçues comme sensibles et les DCP sensibles au sens de la [Loi‑I&L]. Les DCP courantes incluent l’état‑civil, l’identité, les données d’identification, les informations relatives à la vie personnelle (habitudes de vie, situation familiale, hors données sensibles ou dangereuses), la vie professionnelle (CV, scolarité, formation professionnelle, distinctions), les informations d’ordre économique et financier (revenus, situation financière, situation fiscale), les données de connexion (adresses IP, journaux d’événements) et les données de localisation (déplacements, données GPS, GSM).

2.2 Les DCP perçues comme sensibles regroupent notamment le numéro de sécurité sociale (NIR), les données biométriques et les données bancaires. Les DCP sensibles au sens de la [Loi‑I&L] couvrent les opinions philosophiques, politiques, religieuses, syndicales, la vie sexuelle, les données de santé, l’origine raciale ou ethnique, ainsi que les données relatives aux infractions, condamnations et mesures de sécurité, en référence notamment aux articles 8 et 9 de la [Loi‑I&L] et à l’article 8 de la [Directive‑95‑46].

2.3 La section 1.2 Typologie de supports de données décrit les supports de données comme les composants du système d’information sur lesquels reposent les données à caractère personnel. Elle distingue les systèmes informatiques (matériels et supports de données électroniques tels que ordinateurs, relais de communication, clés USB, disques durs ; logiciels comme systèmes d’exploitation, messagerie, bases de données, applications métier ; canaux informatiques comme câbles, WiFi, fibre optique) et les organisations (personnes : utilisateurs, administrateurs informatiques, décideurs ; supports papier : impressions, photocopies, documents manuscrits ; canaux de transmission papier : envoi postal, circuit de validation).

2.4 Le document insiste sur la nécessité de choisir un niveau de détail approprié pour l’étude, et rappelle que les solutions de sécurité (produits, procédures, mesures) ne sont pas des supports de données mais des mesures destinées à traiter les risques. Cette distinction est essentielle pour structurer correctement une AIPD RGPD : les supports sont les objets exposés, les mesures sont les réponses aux risques.

3. Sources de risques, gravité et vraisemblance

3.1 La section 1.3 Typologie de sources de risques présente des sources humaines internes (salariés, administrateurs informatiques, stagiaires, dirigeants), des sources humaines externes (destinataires des DCP, tiers autorisés, prestataires, pirates informatiques, visiteurs, anciens employés, militants, concurrents, clients, personnels d’entretien et de maintenance, délinquants, syndicats, journalistes, ONG, organisations criminelles, organisations sous contrôle d’un État étranger, organisations terroristes, activités industrielles environnantes) et des sources non humaines (codes malveillants d’origine inconnue comme virus et vers, eau, matières inflammables, corrosives ou explosives, catastrophes naturelles, épidémies, animaux).

3.2 La section 1.4 Échelle et règles pour estimer la gravité définit la gravité comme l’ampleur d’un risque, estimée au regard des impacts potentiels sur les personnes concernées, compte tenu des mesures existantes, prévues ou complémentaires. L’échelle comporte quatre niveaux : 1. Négligeable, 2. Limitée, 3. Importante et 4. Maximale, illustrés par des impacts corporels, impacts matériels et impacts moraux. Les exemples vont de la simple contrariété ou perte de temps à des conséquences telles que perte d’emploi, péril financier, sanction pénale, atteinte aux droits fondamentaux, voire décès ou affection psychologique de longue durée.

3.3 La gravité peut être ajustée en fonction du caractère identifiant des données, de la nature des sources de risques, du nombre d’interconnexions (notamment avec l’étranger) et du nombre de destinataires, qui facilite la corrélation de données initialement séparées. Cette approche permet de relier directement la typologie de données et la typologie de sources de risques à l’évaluation des impacts dans l’AIPD RGPD.

3.4 La section 1.5 Échelle et règles pour estimer la vraisemblance définit la vraisemblance comme la possibilité qu’un risque se réalise, en fonction des vulnérabilités des supports et de la capacité des sources de risques à les exploiter. L’échelle comporte également quatre niveaux : Négligeable, Limité, Important, Maximal, illustrés par des exemples comme le vol de supports papier dans des locaux plus ou moins protégés (badge, code d’accès, contrôle à l’accueil, hall public). La vraisemblance peut être modulée selon l’ouverture sur Internet, les échanges de données avec l’étranger, les interconnexions avec d’autres systèmes, l’hétérogénéité ou la variabilité du système, ainsi que l’image de l’organisme.

4. Menaces sur la confidentialité, l’intégrité et la disponibilité

4.1 Les sections 1.6, 1.7 et 1.8 détaillent les menaces susceptibles de mener à un accès illégitime à des données, à une modification non désirée de données ou à une disparition de données. Elles croisent les types de supports (matériels, logiciels, canaux informatiques, personnes, documents papier, canaux papier), les actions (utilisés de manière inadaptée, observés, modifiés, surchargés, détériorés, perdus, détournés) et les vulnérabilités (portabilité, attractivité, modifiabilité, perméabilité, fragilité, dimensionnement inapproprié, maîtrise insuffisante, etc.).

4.2 Pour la confidentialité (section 1.6), les exemples incluent l’utilisation de clés USB inappropriées, l’observation d’écrans, le piégeage par keylogger, le vol de matériels, la fouille de contenu, l’interception de flux réseau, l’, la corruption, la lecture de documents papier ou la reproduction de documents en transit. Les vulnérabilités associées sont par exemple la possibilité d’observer des données interprétables, la présence de ports et connecteurs, la petite taille et la valeur marchande des supports, ou encore le caractère loquace ou influençable des personnes.

4.3 Pour l’intégrité (section 1.7), les menaces portent sur des modifications inopportunes dans des bases de données, des erreurs de manipulation, des contagions par code malveillant, des attaques de type man in the middle ou rejeu, des rumeurs et désinformations, la falsification de documents papier ou la modification de circuits papier. Les vulnérabilités sont liées à la modifiabilité des supports, à la maîtrise insuffisante des logiciels, à la charge de travail et au stress des personnes, ou à la falsifiabilité des documents.

4.4 Pour la disponibilité (section 1.8), les menaces incluent la surcharge des unités de stockage, les pannes de courant, les attaques par déni de service, l’inondation, l’incendie, le vandalisme, la mise au rebut de supports, l’effacement de données, le dépassement du dimensionnement d’une base de données, la corruption de modules de licence, le sectionnement de câblage, la mauvaise réception wifi, la charge de travail importante, les accidents du travail, le vieillissement de documents archivés, la surcharge de courriers ou la réorganisation supprimant un processus. Les vulnérabilités renvoient à des dimensionnements inappropriés, à des composants fragiles, à la portabilité et à l’attractivité des supports, à l’instabilité des canaux ou à l’utilité non reconnue de certains processus.

5. Échelles pour le plan d’action et structuration de l’AIPD RGPD

5.1 La section 1.9 Échelles pour le plan d’action propose des échelles pour suivre la mise en œuvre des mesures de protection des données dans le cadre d’une AIPD RGPD. Quatre critères sont retenus : la difficulté (faible, moyenne, élevée), le coût financier (nul, moyen, important), le terme (trimestre, année, 3 ans) et l’avancement (non démarré, en cours, terminé). Ces échelles permettent de prioriser les actions en fonction de la gravité et de la vraisemblance des risques identifiés, mais aussi des contraintes opérationnelles et budgétaires de l’organisme.

5.2 En reliant ces échelles aux typologies de données, de supports et de sources de risques, le document fournit un cadre cohérent pour passer de l’analyse des risques à la planification concrète des mesures : par exemple, un risque de gravité maximale et de vraisemblance importante sur des DCP sensibles au sens de la [Loi‑I&L] justifiera des mesures à terme court, même si la difficulté et le coût financier sont élevés.

6. Anonymisation : objectifs et bonnes pratiques

6.1 La section 2 Anonymisation définit l’objectif principal : faire perdre le caractère identifiant des données à caractère personnel. L’anonymisation est présentée comme une mesure de traitement des risques, à articuler avec la typologie de données et les menaces identifiées. Elle doit être adaptée au contexte, à la forme de stockage des données (champs d’une base de données, extraits de textes, etc.) et aux risques identifiés.

6.2 Le document recommande d’anonymiser de manière irréversible ce qui doit l’être, en fonction de la forme des données (bases de données, documents textuels) et des risques. Lorsque l’anonymisation irréversible n’est pas possible, il convient de choisir des outils (suppression partielle, chiffrement, hachage, hachage à clé, index) qui satisfont au mieux les besoins fonctionnels tout en réduisant les risques. Cette approche met en évidence la tension entre utilité des données et protection de la vie privée, centrale dans toute AIPD RGPD.

7. Archivage : conservation, valeur juridique et confidentialité

7.1 La section 3 Archivage définit l’archivage comme l’ensemble des modalités de conservation et de gestion d’archives électroniques contenant des données à caractère personnel, destinées à garantir leur valeur, notamment juridique, pendant toute la durée nécessaire. Elle couvre le versement, le stockage, la migration, l’accessibilité, l’élimination, la politique d’archivage et la protection de la confidentialité.

7.2 Les bonnes pratiques incluent la définition des processus de gestion des archives (versement, stockage, gestion des données descriptives, consultation/communication, administration, veille technologique et juridique, projets d’évolution et migration des supports et formats) et l’identification des rôles (services producteurs, services versants, autorités d’archivage responsables de la conservation, services contrôleurs exerçant le contrôle scientifique et technique sur les archives publiques).

7.3 Le document insiste sur la nécessité de garantir l’identification et l’authentification de l’origine des archives, l’intégrité, l’intelligibilité et la lisibilité des archives, la durée de conservation, la traçabilité des opérations (versement, consultation, migration, élimination), la disponibilité et l’accessibilité. Il recommande de mettre en œuvre des modalités d’accès spécifiques aux données archivées, de chiffrer les archives et de prévoir leur re‑chiffrement de manière sécurisée avant la fin de vie des clés de chiffrement, ainsi que le changement des supports obsolètes et un mode opératoire de destruction garantissant que l’intégralité des archives a été détruite.

7.4 En matière de confidentialité, il est recommandé de chiffrer systématiquement les données sensibles (données sensibles au sens de l’article 8 et données relevant de l’article 9 de la loi informatique et libertés) archivées. Le document souligne l’importance d’une politique d’archivage (PA), qui formalise les contraintes juridiques, fonctionnelles, opérationnelles et techniques, et d’une déclaration des pratiques d’archivage (DPA), qui décrit les moyens mis en œuvre pour atteindre les objectifs fixés dans la PA.

8. Articulation avec l’AIPD RGPD et structuration de l’analyse des risques

8.1 L’ensemble des éléments présentés – typologie de données à caractère personnel, typologie de supports de données, typologie de sources de risques, échelles de gravité et de vraisemblance, menaces sur la confidentialité, l’intégrité et la disponibilité, anonymisation, archivage, plan d’action – fournit une base structurée pour une AIPD RGPD complète. L’analyse des risques repose sur l’identification des DCP courantes, des DCP perçues comme sensibles et des DCP sensibles au sens de la [Loi‑I&L], sur la cartographie des supports (systèmes informatiques, organisations, supports papier) et des sources de risques (humaines internes, humaines externes, non humaines), puis sur l’évaluation de la gravité et de la vraisemblance des événements redoutés.

8.2 Les mesures comme l’anonymisation et l’archivage sont ensuite sélectionnées et paramétrées en fonction de cette analyse, en tenant compte des échelles pour le plan d’action (difficulté, coût financier, terme, avancement). Le document « PIA, les bases de connaissances – Édition février 2018 » se présente ainsi comme un outil central pour structurer l’analyse des risques et les mesures de protection des données dans le cadre d’une AIPD RGPD.

Pour en savoir plus

9.1 Les guides de la méthode PIA de la CNIL, incluant les bases de connaissances, sont disponibles en ligne : https://www.cnil.fr/fr/PIA-privacy-impact-assessment.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.