Méthode CNIL de PIA : conduire une AIPD RGPD et gérer les risques

1. Présentation générale de la méthode PIA de la CNIL

1. La publication « PIA, la méthode – Édition février 2018 » propose un cadre méthodologique complet pour conduire une analyse d’impact relative à la protection des données, ou Privacy Impact Assessment (PIA), au sens de l’article 35 du [RGPD]. Elle s’inscrit dans le contexte juridique européen (articles 7 et 8 de la [Charte-UE], article 1 de la [Loi-I&L]) et vise à garantir la protection de la vie privée, entendue comme l’ensemble des libertés et droits fondamentaux susceptibles d’être affectés par un traitement de données à caractère personnel. La méthode est structurée en quatre grandes étapes : étude du contexte, étude des principes fondamentaux, étude des risques liés à la sécurité des données et validation du PIA, complétées par des annexes (définitions, références bibliographiques, démonstration de couverture des [LignesDirectrices‑G29]).

2. La CNIL précise que le terme « vie privée » est utilisé comme raccourci pour désigner un périmètre plus large : identité humaine, droits de l’homme, libertés individuelles ou publiques. L’acronyme « PIA » recouvre indifféremment les expressions Privacy Impact Assessment, étude d’impact sur la vie privée (EIVP), analyse d’impact relative à la protection des données et Data Protection Impact Assessment (DPIA). La méthode s’appuie sur la démarche [EBIOS] (Expression des Besoins et Identification des Objectifs de Sécurité) publiée par l’ANSSI, et se veut compatible avec les normes de gestion des risques telles que [ISO 31000]. Elle est conçue comme un processus itératif d’amélioration continue, nécessitant des révisions régulières en fonction de l’évolution du contexte, des mesures et des risques.

3. Le guide ne traite pas des conditions préalables déterminant s’il faut mener un PIA (article 35.1 du [RGPD]) ni des conditions postérieures imposant la consultation de l’autorité de protection des données (article 36.1 du [RGPD]). Il se concentre sur la manière de construire et démontrer la mise en œuvre des principes de protection de la vie privée, afin que les personnes concernées conservent la maîtrise de leurs données à caractère personnel. Il s’adresse aux responsables de traitement qui souhaitent documenter leur démarche de conformité et leur accountability (article 25 du [RGPD]), mais aussi aux fournisseurs de produits qui veulent démontrer une approche de Privacy by Design (article 25 du [RGPD]), ainsi qu’aux autorités décisionnaires, maîtrises d’ouvrage, maîtrises d’œuvre, délégués à la protection des données et responsables de la sécurité des systèmes d’information.

2. La démarche de conformité : principes fondamentaux et gestion des risques

4. La méthode PIA repose sur deux piliers complémentaires : d’une part, le respect des principes et droits fondamentaux, qualifiés de « non négociables » car fixés par la loi et indépendants de la nature, de la gravité ou de la vraisemblance des risques ; d’autre part, la gestion des risques sur la vie privée, c’est‑à‑dire des risques liés à la sécurité des données à caractère personnel et susceptibles d’avoir un impact sur les personnes concernées. La Figure 1 illustre cette articulation : la conformité résulte à la fois du respect des principes et droits fondamentaux et de la gestion des risques liés à la sécurité des données.

5. La Figure 2 synthétise la démarche générale pour mener un PIA en quatre étapes : 1. Contexte (délimiter et décrire le ou les traitements considérés), 2. Principes fondamentaux (analyser les mesures garantissant la proportionnalité, la nécessité du traitement et la protection des droits des personnes concernées), 3. Risques (apprécier les risques sur la vie privée liés à la sécurité des données et vérifier qu’ils sont convenablement traités), 4. Validation (formaliser la validation du PIA ou décider de réviser les étapes précédentes). Cette démarche est explicitement décrite comme un processus d’amélioration continue, pouvant nécessiter plusieurs itérations avant d’atteindre un dispositif de protection de la vie privée acceptable.

6. La CNIL insiste sur l’importance d’appliquer la méthode dès la conception d’un nouveau traitement de données à caractère personnel. Une application en amont permet de déterminer des mesures nécessaires et suffisantes et d’optimiser les coûts, alors qu’une application tardive peut remettre en cause des choix déjà effectués. L’objectif est de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et empêcher qu’elles soient déformées, endommagées ou accessibles à des tiers non autorisés (article 34 de la [Loi‑I&L]).

3. Étude du contexte : vue d’ensemble, données, processus et supports

7. L’étude du contexte (chapitre 1) est généralement réalisée par la maîtrise d’ouvrage, avec l’appui d’une personne en charge des aspects « Informatique et libertés ». L’objectif est d’obtenir une vision claire des traitements de données personnelles considérés. La section 1.1 Vue d’ensemble prévoit de présenter le traitement (nature, portée, contexte, finalités, enjeux), d’identifier le responsable du traitement et les éventuels sous‑traitants, et de recenser les référentiels applicables (codes de conduite approuvés, certifications en matière de protection des données, politique de sécurité, normes juridiques sectorielles, etc.). Les enjeux doivent être explicités en termes de bénéfices attendus pour l’organisme, les personnes concernées et la société.

8. La section 1.2 Données, processus et supports impose de délimiter et décrire le périmètre de manière détaillée : données personnelles concernées, destinataires, durées de conservation, description des processus et des supports de données pour l’ensemble du cycle de vie des données (de la collecte à l’effacement). Les supports de données incluent matériels, logiciels, canaux informatiques, personnes, supports papier ou canaux de transmission papier. Cette cartographie initiale conditionne la qualité de l’étude des risques et la pertinence des mesures de sécurité.

4. Étude des principes fondamentaux : proportionnalité, nécessité et droits des personnes

9. L’étude des principes fondamentaux (chapitre 2) est généralement conduite par la maîtrise d’ouvrage puis évaluée par une personne en charge des aspects « Informatique et libertés ». L’objectif est de bâtir le dispositif de conformité aux principes de protection de la vie privée. La section 2.1 Évaluation des mesures garantissant la proportionnalité et la nécessité du traitement impose d’expliciter et de justifier les choix relatifs à cinq exigences : finalité déterminée, explicite et légitime (article 5.1 b du [RGPD]), fondement licite et interdiction du détournement de finalité (article 6 du [RGPD]), minimisation des données (données adéquates, pertinentes et limitées, article 5.1 c), qualité des données (exactitude et mise à jour, article 5.1 d), durées de conservation limitées (article 5.1 e). Il est demandé de vérifier s’il est possible d’améliorer la manière dont chaque point est prévu et justifié, et, le cas échéant, de proposer des mesures complémentaires.

10. La section 2.2 Évaluation des mesures protectrices des droits des personnes concernées vise à identifier et décrire les mesures existantes ou prévues pour respecter les exigences suivantes : information des personnes concernées (traitement loyal et transparent, articles 12, 13 et 14 du [RGPD]), recueil du consentement lorsqu’il est requis (exprès, démontrable, retirable, articles 7 et 8), exercice des droits d’accès et à la portabilité (articles 15 et 20), droits de rectification et d’effacement (articles 16 et 17), droits de limitation du traitement et d’opposition (articles 18 et 21), sous‑traitance (article 28), transferts de données hors UE (articles 44 à 49). Là encore, la méthode prévoit une vérification de l’améliorabilité de chaque mesure et la possibilité de proposer des mesures complémentaires pour renforcer la protection des droits des personnes.

5. Étude des risques liés à la sécurité des données et impacts sur la vie privée

11. Le chapitre 3 définit ce qu’est un risque sur la vie privée : un scénario hypothétique décrivant un événement redouté (par exemple un accès illégitime à des données), les sources de risques (salarié soudoyé, attaquant externe, erreur humaine, etc.), les vulnérabilités des supports de données (système de gestion de fichiers, application, support papier), les menaces (détournement par envoi de courriels, vol de supports, intrusion), les données à caractère personnel concernées (fichier clients, données de santé, etc.) et les impacts potentiels sur la vie privée (sollicitations non désirées, sentiment d’atteinte à la vie privée, ennuis personnels ou professionnels). La Figure 3 relie sources de risques, supports de données, menaces, événements redoutés, données à caractère personnel et impacts potentiels.

12. La gravité et la vraisemblance constituent les deux dimensions d’estimation du niveau de risque (Figure 4). La gravité représente l’ampleur du risque, en fonction du caractère préjudiciable des impacts potentiels et du contexte (nature des données, personnes concernées, finalité du traitement). La vraisemblance traduit la possibilité de réalisation du risque, en fonction des vulnérabilités exploitables et des capacités des sources de risques à les exploiter. Le risque est ainsi défini comme un scénario composé d’un événement redouté et de toutes les menaces qui le rendent possible, estimé en termes de gravité et de vraisemblance.

13. La section 3.1 Évaluation des mesures existantes ou prévues, généralement réalisée par la maîtrise d’œuvre puis évaluée par un responsable de la sécurité de l’information, vise à recenser les mesures contribuant à la sécurité. Trois catégories sont distinguées : mesures portant spécifiquement sur les données du traitement (chiffrement, anonymisation, cloisonnement, contrôle d’accès, traçabilité), mesures générales de sécurité du système (sécurité de l’exploitation, sauvegardes, sécurité des matériels), et mesures organisationnelles (gouvernance, politique de sécurité, gestion des projets, gestion des personnels, gestion des incidents et violations, relations avec les tiers). Il est demandé de vérifier si chaque mesure peut être améliorée au regard des bonnes pratiques de sécurité et, le cas échéant, de préciser ou compléter le dispositif.

14. La section 3.2 Appréciation des risques : les atteintes potentielles à la vie privée est généralement conduite par la maîtrise d’ouvrage avec l’appui d’un expert en sécurité de l’information. Pour chaque événement redouté – accès illégitime à des données (atteinte à la confidentialité), modification non désirée de données (atteinte à l’intégrité), disparition de données (atteinte à la disponibilité) – il convient de : déterminer les impacts potentiels sur la vie privée (question : « Que craint‑on qu’il arrive aux personnes concernées ? »), estimer la gravité, identifier les menaces et sources de risques (question : « Comment cela pourrait‑il arriver ? »), estimer la vraisemblance, puis décider si les risques peuvent être jugés acceptables compte tenu des mesures existantes ou prévues. Si ce n’est pas le cas, des mesures complémentaires doivent être proposées et le niveau de risque résiduel ré‑estimé.

6. Validation du PIA : consolidation, cartographie des risques et décision

15. Le chapitre 4, consacré à la validation du PIA, est généralement mis en œuvre par le responsable de traitement avec l’aide d’une personne en charge des aspects « Informatique et libertés ». La section 4.1 Préparation des éléments utiles à la validation prévoit la consolidation des résultats : représentation visuelle des mesures choisies pour respecter les principes fondamentaux (en distinguant celles à améliorer et celles jugées conformes au [RGPD]), représentation visuelle des mesures de sécurité (conformes ou à améliorer), cartographie visuelle des risques résiduels en fonction de leur gravité et de leur vraisemblance, et élaboration d’un plan d’action détaillant pour chaque mesure complémentaire le responsable, le coût (financier ou en charge) et l’échéance prévisionnelle.

16. La méthode insiste sur la prise en compte des parties prenantes : conseil du délégué à la protection des données (article 35.2 du [RGPD]) et, le cas échéant, avis des personnes concernées ou de leurs représentants (article 35.9). La section 4.2 Validation formelle conduit à une décision argumentée sur l’acceptabilité des mesures, des risques résiduels et du plan d’action, au regard des enjeux identifiés et des avis recueillis. Trois issues sont possibles : PIA validé, PIA à améliorer (avec indication des points à revoir), ou PIA refusé (ainsi que le traitement considéré). En cas de non‑validation, les étapes précédentes doivent être réexaminées pour aboutir à un PIA validable.

7. Définitions clés pour la conduite d’un PIA

17. Les annexes fournissent un ensemble de définitions essentielles. Une donnée à caractère personnel est définie, conformément au [RGPD], comme toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, notamment par un identifiant (nom, numéro, données de localisation, identifiant en ligne) ou un ou plusieurs éléments spécifiques à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. Un événement redouté est une violation potentielle de données pouvant mener à des impacts sur la vie privée. La gravité est l’estimation de l’ampleur des impacts potentiels, la vraisemblance l’estimation de la possibilité qu’un risque se réalise.

18. Une menace est un mode opératoire composé d’actions sur des supports de données, utilisé volontairement ou non par des sources de risques et susceptible de provoquer un événement redouté. Une mesure est une action à entreprendre, technique ou organisationnelle, visant soit à mettre en œuvre des principes fondamentaux, soit à éviter, réduire, transférer ou accepter tout ou partie des risques. Les personnes concernées sont celles auxquelles se rapportent les données faisant l’objet du traitement. Le responsable de traitement est la personne (physique ou morale, autorité publique, service ou autre organisme) qui détermine les finalités et les moyens du traitement, éventuellement en application du droit de l’Union ou du droit d’un État membre.

19. Un support de données est tout bien sur lequel reposent des données (matériels, logiciels, réseaux, personnes, supports papier, canaux de transmission papier). Un traitement de données à caractère personnel recouvre toute opération ou ensemble d’opérations appliquées à des données personnelles (collecte, enregistrement, organisation, conservation, adaptation, extraction, consultation, utilisation, communication, diffusion, rapprochement, limitation, effacement, destruction). Une source de risque peut être une personne ou une source non humaine à l’origine d’un risque, agissant de manière accidentelle ou délibérée. Ces définitions structurent la compréhension des risques et des mesures dans la méthode PIA.

8. Références normatives et couverture des Lignes directrices G29

20. Les références bibliographiques rappellent le cadre juridique et méthodologique : [Charte‑UE] (Charte des droits fondamentaux de l’Union européenne), [RGPD] (Règlement (UE) 2016/679), [Loi‑I&L] (Loi n° 78‑17 modifiée), [LignesDirectrices‑G29] sur l’analyse d’impact relative à la protection des données, [EBIOS] (méthode de gestion des risques de l’ANSSI) et [ISO 31000] (management du risque – principes et lignes directrices). L’annexe sur la couverture des critères des [LignesDirectrices‑G29] démontre que la méthode PIA de la CNIL répond aux exigences de l’article 35.7 du [RGPD] : description systématique du traitement (nature, portée, contexte, finalités, données, destinataires, durées de conservation, supports, conformité à des codes de conduite), évaluation de la nécessité et de la proportionnalité (finalités, licéité, minimisation, durée de conservation, droits des personnes, sous‑traitance, transferts internationaux), gestion des risques sur les droits et libertés (origine, nature, particularité, gravité, vraisemblance, mesures envisagées) et implication des parties intéressées (DPO, personnes concernées).

21. Cette démonstration de couverture renforce la valeur de la méthode comme outil opérationnel de conformité au RGPD et de gestion des risques liés à la sécurité des données. En structurant l’étude du contexte, l’étude des principes fondamentaux, l’étude des risques et la validation du PIA, le guide fournit un référentiel cohérent pour documenter l’accountability des responsables de traitement et intégrer la protection des données dans la conception et l’évolution des traitements.

Pour en savoir plus

22. Les guides et bases de connaissances associés à la méthode PIA sont disponibles sur le site de la CNIL : https://www.cnil.fr/fr/PIA-privacy-impact-assessment.