Hors collection - Droit des données à caractère personnel - 1re - 233

CHAPITRE 4 - LE

PRINCIPE DE

« RESPONSABILITÉ »

233

communiquée au Comité européen de la protection des données sans qu'il soit prévu qu'il émette un
avis.
Lorsque les listes d'opérations soumises à une analyse d'impact ou y échappant comprennent des activités de traitement liées à l'offre de biens ou de services faite à des personnes concernées ou au suivi de
leur comportement dans plusieurs États membres, ou pouvant affecter sensiblement la libre circulation
des données à caractère personnel au sein de l'Union, l'autorité de contrôle compétente applique le
mécanisme de contrôle de la cohérence visé à l'article 63 du RGPD234. L'objectif est d'éviter toute
atteinte à l'objectif de libre circulation des données à caractère personnel.
La CNIL a adopté une liste d'opérations de traitement soumises à une analyse d'impact et une liste
d'opérations non soumises à une analyse d'impact.
491. Les types d'opérations de traitement soumises à une analyse d'impact. La CNIL a adopté, en
application de l'article 35, § 4 du RGPD, une liste non exhaustive, des types d'opérations de traitement pour lesquels une analyse d'impact relative à la protection des données est requise235. Elle en
vise quatorze tout en précisant à chaque fois les critères justifiant la réalisation d'une analyse
d'impact.
Il s'agit des traitements :
- de données de santé mis en œuvre par les établissements de santé ou les établissements médicosociaux pour la prise en charge des personnes (critères justifiant une analyse d'impact : collecte de
données sensibles ; personnes dites « vulnérables »). C'est le cas par exemple du traitement des
dossiers patients ou des traitements liés aux dispositifs de télémédecine ;
- portant sur des données génétiques de personnes dites « vulnérables » (patients, employés,
enfants, etc.) (critères justifiant une analyse d'impact : collecte de données sensibles ; personnes
dites « vulnérables ») ;
- établissant des profils de personnes physiques à des fins de gestion des ressources humaines (par
exemple le profilage à fin de sélection à l'occasion des recrutements ou pour la notation des
employés) (critères justifiant une analyse d'impact : traitement à fin d'évaluation ou de notation
des personnes ; personnes dites « vulnérables ») ;
- ayant pour finalité de surveiller de manière constante l'activité des employés concernés (critères
justifiant une analyse d'impact : personnes dites « vulnérables » ; surveillance systématique). C'est
le cas par exemple de la vidéosurveillance des salariés manipulant des biens de valeur ;
- ayant pour finalité la gestion des alertes et des signalements en matière sociale et sanitaire
(critères justifiant une analyse d'impact : personnes dites « vulnérables » ; évaluation ou notation ;
collecte de données sensibles). C'est le cas par exemple du traitement de données en matière de
protection de l'enfance ;
- ayant pour finalité la gestion des alertes et des signalements en matière professionnelle (critères
justifiant une analyse d'impact : personnes dites « vulnérables » ; évaluation ou notation ; collecte
de données sensibles) ;

234. V. supra, nº 318.
235. CNIL, délib. nº 2018-326, 11 oct. 2018 portant adoption de lignes directrices sur les analyses d'impact relatives à la
protection des données (AIPD) prévues par le règlement général sur la protection des données (RGPD) : Comm. com.
électr. janv. 2019, comm. 4, obs. Debet A. et Metallinos N. ; v. aussi CEPD, avis 9/2018, 25 sept. 2018 sur le projet de
liste établi par l'autorité de contrôle compétente de la France concernant les opérations de traitement pour lesquelles
une analyse d'impact relative à la protection des données est requise (article 35, paragraphe 4, du RGPD).

Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re