Analyses d’impact RGPD : sécuriser les AIPD et la responsabilisation des organismes

1. Analyses d’impact RGPD et responsabilisation des organismes

1.1. La Commission nationale de l’informatique et des libertés (CNIL), par sa délibération n° 2018-326 du 11 octobre 2018 publiée au Journal officiel du 6 novembre 2018, adopte des lignes directrices sur les analyses d’impact relatives à la protection des données (AIPD), prévues par le règlement (UE) 2016/679, dit règlement général sur la protection des données (RGPD). Ces lignes directrices s’inscrivent dans le cadre du principe de responsabilisation des organismes, au cœur du RGPD, et visent à sécuriser les AIPD en précisant leur périmètre, leurs conditions de réalisation et les cas de transmission à la CNIL.

1.2. La CNIL fonde son intervention sur les articles 35 et 36 du RGPD relatifs aux analyses d’impact relatives à la protection des données, ainsi que sur l’article 11 de la loi du 6 janvier 1978 modifiée. Elle rappelle que les AIPD, également désignées sous le terme de Privacy Impact Assessment (PIA), sont requises pour les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques. L’objectif est double : assurer la conformité des traitements aux exigences du RGPD et démontrer cette conformité en cas de contrôle.

1.3. Au-delà de l’obligation juridique, la CNIL insiste sur la dimension stratégique des AIPD : elles constituent une réflexion interne spécifique à chaque traitement, permettant d’identifier les garanties nécessaires et de garantir de manière opérationnelle le respect des principes relatifs à la protection des données. Les AIPD deviennent ainsi un instrument central de la responsabilisation des responsables de traitement et de la gestion des risques liés aux données personnelles.

2. Outils d’accompagnement et articulation avec les lignes directrices européennes

2.1. Pour accompagner les responsables de traitement dans la mise en œuvre des analyses d’impact RGPD, la CNIL met à disposition des guides méthodologiques et un logiciel d’aide à la rédaction des AIPD. Ces outils visent à structurer la démarche, à faciliter l’identification des risques élevés et à documenter les mesures de protection envisagées. Ils s’inscrivent dans une logique de sécurisation des AIPD et de diffusion de bonnes pratiques.

2.2. Les lignes directrices nationales complètent celles adoptées le 4 octobre 2017 au niveau européen par le groupe de travail « article 29 » (G29), reprises par le Comité européen à la protection des données (CEPD) le 25 mai 2018. La CNIL précise le périmètre de l’obligation d’effectuer une AIPD, les conditions de réalisation et les cas de transmission à l’autorité de contrôle. Elle s’aligne sur les critères d’acceptabilité d’une AIPD dégagés par le CEPD, tout en les adaptant au contexte français.

2.3. La CNIL renvoie également aux référentiels sectoriels qu’elle a adoptés. Ces référentiels permettent, d’une part, d’évaluer la nécessité et la proportionnalité des opérations de traitement et, d’autre part, d’identifier les garanties à mettre en œuvre pour protéger les droits et libertés des personnes. Ils éclairent les responsables de traitement sur les attentes de la commission et peuvent, dans certains cas, produire un effet juridique en exonérant de la réalisation d’une AIPD les responsables qui s’y conforment strictement.

3. Périmètre des traitements soumis à AIPD : identification du risque élevé

3.1. L’article 35.1 du RGPD impose la réalisation d’une AIPD lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Le règlement identifie trois types de traitements particulièrement sensibles : l’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé et conduisant à des décisions produisant des effets juridiques ou des effets similaires significatifs ; le traitement à grande échelle de données sensibles ou relatives à des condamnations pénales et infractions ; la surveillance systématique à grande échelle d’une zone accessible au public.

3.2. Au-delà de ces trois catégories, le CEPD a identifié neuf critères caractérisant un traitement susceptible d’engendrer un risque élevé : données traitées à grande échelle ; données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques ou de santé, données biométriques, données concernant la vie ou l’orientation sexuelle) ou données à caractère hautement personnel (données relatives aux communications électroniques, données de localisation, données financières, etc.) ; données concernant des personnes vulnérables (patients, personnes âgées, enfants, etc.) ; croisement ou combinaison de données ; évaluation/scoring (y compris le profilage) ; prise de décision automatisée avec un effet juridique ou similaire ; surveillance systématique de personnes ; traitement pouvant exclure du bénéfice d’un droit, d’un service ou d’un contrat ; utilisation innovante ou application de nouvelles solutions technologiques ou organisationnelles.

3.3. La CNIL considère qu’un traitement qui rencontre au moins deux de ces critères doit, de manière générale, faire l’objet d’une AIPD. Cette approche pragmatique permet de cibler les situations de risque élevé tout en laissant une marge d’appréciation au responsable de traitement. En cas de doute, la commission estime qu’une AIPD devrait être effectuée, ce qui renforce la logique de prudence et de sécurisation des analyses d’impact.

3.4. La CNIL admet toutefois des dérogations raisonnées : un responsable peut estimer qu’un traitement, bien que répondant à deux critères, ne présente pas en réalité de risque élevé. Il doit alors expliquer et documenter sa décision de ne pas procéder à une AIPD, en incluant, le cas échéant, l’avis du délégué à la protection des données (DPO). À l’inverse, un traitement ne répondant qu’à un seul critère peut, selon le contexte, justifier la réalisation d’une AIPD. Cette flexibilité renforce la responsabilisation des organismes et l’exigence de traçabilité des choix.

4. Listes de traitements soumis ou non à AIPD et rôle des référentiels

4.1. Conformément à l’article 35.4 du RGPD, la CNIL a établi, par la délibération n° 2018-327 du 11 octobre 2018, une liste de types d’opérations de traitement pour lesquelles une AIPD est requise. Cette liste, élaborée après avis du CEPD du 25 septembre 2018, est appelée à être régulièrement revue en fonction de l’évolution des risques élevés associés à certains traitements. Elle constitue un outil de sécurisation juridique pour les responsables de traitement, en clarifiant les situations où l’analyse d’impact RGPD est obligatoire.

4.2. L’article 35.5 du RGPD autorise également les autorités de contrôle à adopter une liste d’opérations de traitement ne nécessitant pas d’AIPD. Sur ce fondement, la CNIL prévoit d’établir une liste de traitements qui, en tout état de cause, ne présentent pas de risque élevé et sont donc exonérés de la réalisation d’une AIPD. Cette liste sera, elle aussi, régulièrement revue, ce qui permet d’ajuster la régulation aux pratiques et aux technologies.

4.3. La CNIL souligne par ailleurs que, sauf disposition légale contraire, ne sont pas soumis à AIPD les traitements mis en œuvre pour le respect d’une obligation légale ou pour l’exercice d’une mission de service public, lorsque ces traitements disposent d’une base juridique dans le droit national ou de l’Union européenne, que ce droit les réglemente et qu’une AIPD a déjà été menée lors de l’adoption de cette base juridique. Elle encourage une utilisation large de cette possibilité par les pouvoirs publics, compte tenu de l’aide qu’elle procure aux responsables concernés.

4.4. Une AIPD n’est pas requise lorsque la nature, la portée, le contexte et les finalités des traitements envisagés sont très similaires à un traitement pour lequel une AIPD a déjà été menée, par le même responsable ou par un tiers (autorités ou organismes publics, regroupements de responsables de traitement, etc.). Les résultats de l’AIPD peuvent alors être réutilisés, à condition que le responsable transpose ces résultats à sa situation particulière. Cette mutualisation contribue à la rationalisation des démarches tout en maintenant un niveau de sécurisation adéquat.

4.5. La CNIL rappelle que les traitements non soumis à AIPD demeurent soumis aux principes de protection des données de l’article 5 du RGPD et aux droits des personnes concernées. Les référentiels sectoriels qu’elle a élaborés apportent des garanties permettant d’assurer la conformité au RGPD. Ils constituent un socle de sécurisation des traitements, y compris lorsque l’analyse d’impact n’est pas formellement requise.

5. Traitements antérieurs au RGPD : régime transitoire des AIPD

5.1. La CNIL adopte une approche spécifique pour les traitements mis en œuvre avant le 25 mai 2018. Les traitements régulièrement mis en œuvre à cette date – c’est-à-dire ayant fait l’objet d’une formalité auprès de la CNIL, ayant été dispensés, autorisés par un acte réglementaire ou inscrits dans le registre d’un correspondant « informatique et libertés » (CIL) – n’ont pas à faire l’objet d’une AIPD dans un délai de trois ans à compter du 25 mai 2018, sauf en cas de modification substantielle depuis leur mise en œuvre.

5.2. Ce régime transitoire vise à concilier la sécurisation des AIPD avec la continuité des traitements existants. Il laisse aux responsables de traitement un délai pour adapter leurs pratiques au nouveau cadre du RGPD, tout en imposant une vigilance particulière en cas d’évolution significative des traitements susceptibles d’accroître les risques pour les droits et libertés.

6. Conditions de réalisation d’une AIPD : contenu, méthode et acteurs

6.1. Une AIPD doit être menée avant la mise en œuvre d’un traitement présentant un risque élevé et doit être revue régulièrement, au minimum tous les trois ans, afin de vérifier que le niveau de risque demeure acceptable. Une même AIPD peut couvrir un ensemble d’opérations de traitement similaires en termes de nature, périmètre, contexte, finalité et risques pour les personnes concernées, ce qui permet une approche globale des projets de traitement.

6.2. L’article 35.7 du RGPD définit le contenu minimal d’une AIPD : une description systématique des opérations de traitement envisagées et de leurs finalités ; une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ; une évaluation des risques pour les droits et libertés des personnes concernées ; les mesures envisagées pour faire face aux risques. Ce cadre impose une démarche structurée, centrée sur la nécessité, la proportionnalité et la gestion des risques.

6.3. Quelle que soit la méthode retenue, la CNIL exige qu’elle permette de satisfaire aux critères d’acceptabilité d’une AIPD définis par le CEPD dans ses lignes directrices du 4 octobre 2017. L’AIPD doit être menée par le responsable du traitement ou sous son autorité, ce qui renforce la responsabilisation des organismes et l’appropriation interne de la démarche de protection des données.

6.4. La CNIL insiste sur l’implication de l’ensemble des acteurs du traitement. Sont notamment concernés : le délégué à la protection des données (DPO), dont le conseil doit être demandé et formalisé dans l’AIPD, et le responsable de la sécurité des systèmes d’information (RSSI) ; le ou les sous-traitants, tenus à une obligation de coopération ; les personnes concernées ou leurs représentants, dont la consultation peut être pertinente pour évaluer les risques ; la maîtrise d’ouvrage et la maîtrise d’œuvre, selon le contexte. La commission recommande de documenter les apports de chaque acteur ou, à l’inverse, les raisons de l’absence de consultation.

6.5. La CNIL encourage la production d’un rapport ou d’un résumé d’AIPD destiné à être publié, afin de créer un climat de confiance et de transparence entre les parties concernées par un traitement. Cette démarche renforce la responsabilisation et la légitimité des traitements, en rendant visibles les efforts de sécurisation des données et de maîtrise des risques.

7. Transmission des AIPD à la CNIL et gestion des risques résiduels

7.1. Une AIPD faisant apparaître des risques résiduels élevés, malgré les mesures envisagées par le responsable de traitement, doit être transmise à la CNIL dans les conditions prévues par l’article 36 du RGPD. Cette consultation préalable permet à l’autorité de contrôle d’apprécier le niveau de risque et, le cas échéant, de formuler des recommandations ou des obligations complémentaires.

7.2. Le responsable de traitement peut s’appuyer sur les référentiels sectoriels édictés par la CNIL. Le respect d’un référentiel permet de considérer qu’il n’existe pas de risques résiduels élevés. À l’inverse, les traitements qui s’en écartent doivent conduire le responsable à s’interroger sur le niveau de risque résiduel et sur la nécessité d’une consultation obligatoire de la commission. Les référentiels deviennent ainsi un instrument de sécurisation des analyses d’impact et de gestion des risques.

7.3. La CNIL précise qu’une AIPD portant sur un projet de traitement relevant de l’article 54 III de la loi « informatique et libertés », c’est-à-dire les traitements de données à caractère personnel dans le domaine de la santé, doit lui être transmise dans le cadre de l’instruction de la demande d’autorisation. Ce secteur, particulièrement sensible, illustre l’exigence accrue de sécurisation des AIPD et de contrôle des risques élevés.

7.4. En tout état de cause, la CNIL rappelle que les AIPD peuvent être demandées aux responsables de traitement en application des articles 58 du RGPD et 44 de la loi du 6 janvier 1978, notamment dans le cadre de l’instruction des plaintes ou du contrôle de la mise en œuvre des traitements. Cette faculté renforce la portée opérationnelle des AIPD comme outil de preuve de conformité et de responsabilisation.

8. Enjeux de sécurisation des AIPD et responsabilisation des organismes

8.1. Les lignes directrices de la CNIL sur les analyses d’impact RGPD structurent un cadre complet de sécurisation des AIPD : définition du périmètre des traitements soumis ou non à AIPD, critères de risque élevé, contenu minimal, méthodologie, implication des acteurs, rôle des référentiels sectoriels et conditions de transmission à l’autorité de contrôle. Ce cadre renforce la responsabilisation des organismes en les plaçant au centre de l’évaluation des risques et de la mise en conformité.

8.2. En articulant les exigences du RGPD, les lignes directrices européennes du G29/CEPD et les référentiels sectoriels, la CNIL propose une approche cohérente de la protection des données fondée sur l’analyse d’impact. Les AIPD deviennent un levier central de gouvernance des données, de maîtrise des risques élevés et de confiance entre responsables de traitement, personnes concernées et autorité de contrôle.