Manuel - Droit et protection des données à caractère personnel - 1re - 95

L'optimisation du dispositif de protection
Dans l'hypothèseoù la communication à la personneen cause s'impose et
n'a pas étéfaite par leresponsable du traitement, l'autorité de contrôle peut
obliger ce dernier à le faire après avoir examiné si cette violation de données
peut engendrer un risque élevé. Elle peut aussi décider que l'une ou l'autre
des conditions rendant la communication non indispensable est remplie124
.
2. La maîtrise éventuelle des risques
89. Une innovation majeure. - Bien qu'éventuelle puisqu'elle
n'intervient que dans certaines circonstances, cette maîtrise des risques
est l'une des innovations majeures du mécanisme de protection. En particulier,
l'analyse d'impact relative à la protection des données (AIDP125
est l'une des principales nouveautés du RGPD126
)
: souvent mal perçue
par les acteurs eux-mêmes qui voient une source d'inquiétude, elle est
pourtant un outil particulièrement opportun, ne serait-ce que parce
qu'elle apporte une aide précieuse au responsable du traitement lors de
la conception d'un nouveau traitement. C'est « un outil qui permet de
construire un traitement conforme au RGPD et respectueux de la vie privée
lorsqu'un traitement de données personnelles est susceptible d'engendrer
un risque élevé pour les droits et libertés des personnes
concernées »127
de sa réalisation (a) sans oublier la procédure de la consultation préalable
(b).
a. La réalisation de l'analyse d'impact
90. Une obligation en cas de risque élevé. - Il arrive qu'un type de
traitement puisse engendrer un risque élevé pour les droits et libertés des
personnes physiques, surtout en cas d'utilisation des nouvelles technologies
et aussi en raison de la nature, de la portée, du contexte et des finalités
du traitement. Dans ce cas, le responsable du traitement doit effectuer,
avant le traitement, une analyse de l'impact des opérations de
traitement envisagées sur la protection des données personnelles128
L'analyse doit être réalisée avant la mise en œuvre du traitement129
.
et la
question de savoir si le risque est élevé ou pas est une question capitale.
Cette analyse d'impact est plus particulièrement requise dans trois cas :
d'abord, l'évaluation systématique et approfondie d'aspects personnels
concernant des personnes physiques, fondée sur un traitement
124. Art. 34-4, RGPD.
125. Ou DPIA en anglais pour Data Protection Impact Assessemnt.
126. À noter cependant que, depuis longtemps (depuis 2009), la commission demandait dans différentes
recommandations sectorielles l'intégration de l'analyse d'impact. Mais, comme cela a été justement
observé, si l'AIPD est depuis longtemps encouragée, « elle n'était pour aucun acteur un passage obligé » :
E. GEFFRAY et A. GUÉRIN-FRANÇOIS, Code de la protection des données personnelles, op. cit., comm. sous art. 35.
Sur lerôledu DPO pendant l'analyse d'impact, v. plus particulièrement infra, nº 147.
127. CNIL, Ce qu'il faut savoir sur l'analyse d'un pacte relative à la protection des données,cnil.fr, 22 oct.2019.
128. Art. 35-1, RGPD.
129. V. la dérogation prévue à l'art. 35-10 du RGPD pour le traitement effectué en application de l'art. 6 § 1
pts c) ou e) ou une analyse d'impact adéjàété effectuée.
95
.C'est dire l'importance de l'analyse d'impact au moment

Manuel - Droit et protection des données à caractère personnel - 1re

Table des matières de la publication Manuel - Droit et protection des données à caractère personnel - 1re