Manuel - Droit et protection des données à caractère personnel - 1re - 96

DROIT ET PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL
automatisé (y compris le profilage) et sur la base de laquelle sont prises
des décisions produisant des effets juridiques à l'égard d'une personne
physique ou l'affectant de manière significative de façon similaire130
;
ensuite, selon l'article 35-3 b) du RGPD, le traitement à grande échelle131
de catégories particulières de données132
relatives à des condamnations pénales et à des infractions133
.
ou des données personnelles
; enfin, la
surveillance systématique à grande échelle d'une zone accessible au
public134
L'autorité de contrôle établit et publie une liste des types d'opérations de
traitement pour laquelle une analyse d'impact s'impose135
munique au Comité européen de la protection des données136
, puis elle les com.Avant
d'adopter
ces listes, l'autorité de contrôle applique le mécanisme de contrôle de la
cohérence dans certains cas précis. Il en est ainsi lorsque ces listes comprennent
des activités de traitement liées à l'offre de biens ou de services à des
personnes concernées ou au suivi de leur comportement dans plusieurs
États membres. Il en va de même lorsqu'elles peuvent affecter sensiblement
la libre circulation des données à caractère personnel au sein de l'Union137
.
L'analyse d'impact n'est pas soumise à un formalisme particulier, de sorte
que chacun procède comme il l'entend. À cette occasion, le responsable du
traitement demande conseil au délégué à la protection des données si un tel
délégué a été désigné138
. Il est à noter que le respect des codes de conduite
par les responsables du traitement ou les sous-traitants est pris en
. Le cas échéant il demande également l'avis des personnes
concernées ou de leurs représentants au sujet du traitement prévu,
sans préjudice de la protection des intérêts généraux ou de la sécurité des
opérations de traitement139
130. Art. 35-3 a), RGPD.
131. Sur la notion de traitement à grande échelle, v. infra, nº 132. On peut cependant d'ores et déjà indiquer
que ce sont des opérations de traitement qui visent à traiter un volume considérable de données
personnelles au niveau régional, national ou supranational, qui peuvent affecter un nombre important
de personnes concernées et qui sont susceptibles d'engendrer un risque élevé pour les droits et libertés
de ces dernières : cons. 91, RGPD. À noter qu'un traitement n'est pas considéré à grande échelle (et donc
l'AIPD n'est pas obligatoire) s'il concerne les données personnelles de patients ou de clients par un médecin,
un autre professionnel de la santé ou un avocat exerçant à titre individuel (ibid.).
132. Il s'agit plus particulièrement du traitement des données visées à l'art. 9, RGPD révélant l'origine
raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance
syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier
une personne physique de manière unique, des données concernant la santé ou des données concernant
la vie sexuelle ou l'orientation sexuelle d'unepersonnephysique.
133. V. art. 10, RGPD.
134. Art. 35-3 c), RGPD.
135. Art. 35-4, RGPD. À noter que l'autorité de contrôle peut également établir et publier une liste des
types d'opérations de traitement pour lesquels aucune analyse d'impact n'est requise. Elle communique
cette liste au Comité européen de la protection des données. Art. 35-5, RGPD.
136. V. supra,nº 46 et s.
137. Art. 35-6, RGPD.
138. Art. 35-2, RGPD. Sur le DPO, v. infra, nº 129 et s.
139. Art. 35-9, RGPD.
96

Manuel - Droit et protection des données à caractère personnel - 1re

Table des matières de la publication Manuel - Droit et protection des données à caractère personnel - 1re