Le GDPR

L’objectif du législateur européen est également ici –comme pour la tenue d’un registre interne des activités de traitements -cfr l’article 30- de remplacer l’obligation générale de notification préalable des traitements par des mécanismes efficaces ciblant plutôt les traitements susceptibles de présenter des risques particuliers pour les droits et libertés des personnes concernées.

L’obligation de réaliser une analyse d’impact pour certains traitements « à haut risque » s’inscrit dans cette logique : lorsqu’un traitement est susceptible d’exposer les personnes à un risque élevé au regard de leurs droits et libertés, notamment ceux qui recourent aux nouvelles technologies,  le responsable doit effectuer une analyse d'impact relative à la protection des données pour évaluer, en particulier, l'origine, la nature, la portée, le contexte, la particularité et la gravité de ce risque.

Dans sa deuxième version, l’article 35, paragraphe § 1er contenait une énumération non exhaustive des risques qui justifient une analyse d’impact tels que une discrimination, un vol ou une usurpation d'identité, une perte financière, une atteinte à la réputation, un renversement non autorisé de la pseudonymisation, une perte de confidentialité de données protégées par le secret professionnel ou tout autre dommage économique ou social important. Toutefois, à l’image des articles 33 et 34 cette énumération des risques a été supprimée dans la version finale du Règlement.

Selon le considérant 91, l’analyse d’impact est spécialement requise pour les opérations de traitement à grande échelle, qui servent à traiter un volume considérable de données à caractère personnel à un niveau régional, national ou supranational et qui peuvent affecter un nombre important de personnes concernées. On pense bien évidemment aux grands processus de Big Data mis en œuvre par exemple via les réseaux sociaux.

Objet. L’analyse d’impact vise à évaluer la probabilité et la gravité du risque afin de déterminer, à partir du résultat de l’évaluation, les mesures appropriées à prendre afin de démontrer que le traitement des données à caractère personnel est conforme à la réglementation européenne en matière de protection de données personnelles. La version finale du Règlement précise qu’une analyse d’impact unique peut porter sur un ensemble d’opérations de traitement qui présentent le même niveau de risque.

Dans sa dernière version, le Règlement clarifie et complète au § 7 de l’article 35 le contenu de l’analyse d’impact à réaliser. L’analyse doit au moins contenir :

-une description systématique des activités traitements envisagés et des finalités poursuivies, en ce compris le cas échéant une description des intérêts légitimes poursuivis par le responsable (a) ;

- une analyse de la nécessité et de la proportionnalité des activités de traitement au regard des finalités poursuivies (b) ;

- une évaluation du risque pour les droits et libertés des personnes concernées (c) ;

- les mesures envisagées pour atténuer ce risque y compris les garanties, mesures de sécurité et mécanismes visant à assurer la protection des données à caractère personnel et à apporter la preuve de la conformité du traitement avec le Règlement, en tenant compte des droits et des intérêts légitimes des personnes concernées et des autres personnes touchées (d).

Si un délégué à la protection des données a été désigné, ce dernier doit être consulté lorsque le responsable effectue une analyse d’impact relative à la protection des données (article 35, § 2).

Sur première demande, le sous-traitant doit également assister le responsable afin d’assurer le respect des obligations découlant des analyses d'impact relatives à la protection des données et, le cas échéant, de la consultation préalable de l'autorité de contrôle (considérant 95).

Il doit tenir également être dûment tenu compte du respect par le responsable des codes de conduites approuvés en vertu de l’article 40 lors de l’évaluation de la légalité et de l’impact des opérations de traitement dans le cadre d’une analyse d’impact (cfr. art. 35, § 8).

Dans les cas appropriés, le responsable doit également demander l'avis des personnes concernées ou de leurs représentants au sujet du traitement prévu, sans préjudice de la protection des intérêts généraux ou commerciaux ni de la sécurité des traitements (article 35, § 9).

Cas d’application. L’article 35, paragraphe 3, contient une liste exemplative d’hypothèses où l’analyse d’impact s’impose, tels que le profilage ou le traitement à grande échelle de données sensibles :

- Lorsque le responsable envisage de procéder à l’évaluation systématique des aspects personnels propres à des personnes physiques, sur la base d’un traitement automatisé, incluant le profilage, et sur laquelle sont fondées des décisions produisant des effets juridiques les concernant ou les affectant gravement ;

- Lorsque le responsable traite, à large échelle, des données sensibles au sens de l’article 9, paragraphe 1 ou des données se rapportant à des condamnations ou des infractions au sens de l’article 10 du Règlement ;

- Lorsque le responsable procède à une surveillance systématique à grande échelle de zones accessibles au public.

Avis de l’autorité de contrôle. Si l’analyse révèle que le risque lié au traitement ne peut être atténué par des moyens raisonnables compte tenu des techniques disponibles et des coûts liés à leur mise en œuvre, le responsable doit consulter l’autorité de contrôle (cfr. art. 36, §  2 et les considérants 84 et 94). Si l’autorité de contrôle estime que le traitement emporte violation du règlement, elle rend un avis écrit au responsable et, le cas échéant au sous-traitant, dans un délai de huit semaines, prolongeable de six semaines en cas de complexité du traitement. Ces délais sont suspendus tant que l’autorité de contrôle n’a pas obtenu toutes les informations demandées pour sa consultation.

En outre, les paragraphes 4 et 5  confèrent à l’autorité de contrôle le pouvoir d’établir une liste de catégories de traitements soumis ou non à l’obligation d’analyse d’impact préalable ainsi qu’une liste de catégories de traitements dispensés de l’obligation d’analyse d’impact préalable.

Ces listes doivent être communiquées au Contrôleur européen à la protection des données et soumises au préalable au mécanisme de contrôle de la cohérence prévue aux articles 63 et suivants, si elles contiennent des traitements liés à l'offre de biens ou de services à des personnes concernées ou à l'observation de leur comportement dans plusieurs États membres, ou encore sont susceptibles d'affecter sensiblement la libre circulation des données à caractère personnel au sein de l'Union (article 35, paragraphe 6). En d’autres termes, dans ces cas, l’autorité de contrôle doit soumettre pour avis au Comité européen de la protection des données la liste de traitements soumis à l'exigence d'une analyse d'impact relative à la protection des données (cfr. art. 64, paragraphe 1er, a)).

Exceptions. Le considérant 91 précise que l’analyse d’impact n’est pas obligatoire si le traitement de ces données est protégé par le secret professionnel, à l’instar des traitements des données à caractère personnel de patients ou clients par un médecin individuel, un professionnel de la santé, un hôpital ou un avocat.

L’analyse d’impact n’est pas non plus obligatoire si le traitement est régi par une base légale à laquelle le responsable est soumis et que le traitement est nécessaire au respect de cette loi au sens de l’article 6.1. c) ou à l’exécution d’une mission d’intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement au sens de l’art. 6.1.e, sauf si les Etats membre l’estiment nécessaire (art. 35, § 10). 

Révision de l’analyse. Enfin, la version finale du Règlement introduit un nouveau paragraphe 5 selon lequel le responsable doit veiller à mettre en place une procédure de révision afin de s’assurer que le traitement soit conforme à l’analyse d’impact, au moins lorsqu’apparaît une modification du risque généré par les activités de traitement (art. 35, § 11).

La Directive

Aucune disposition correspondante n’est prévue dans la Directive.

Difficultés probables ?

Une première difficulté est la détermination des traitements dont le risque justifiera la mise en œuvre préalable d’une analyse d’impact. En effet, lorsque le traitement n’est pas visé dans la liste des hypothèses prévues à l’article 35, § 3, l’appréciation du risque et l’initiative d’une analyse d’impact est laissée au responsable du traitement.

La seconde difficulté sera de procéder à l’analyse d’impact elle-même. Il faudra des ressources spécialement compétentes en interne, voire en externe au responsable du traitement. Le coût et les efforts à réaliser seront appréciables et assez lourds, surtout pour des petites structures. Il est vrai que l’ampleur des traitements devrait normalement impliquer des responsables ayant des moyens conséquents, mais ce ne sera pas toujours le cas.

On notera que la CNIL a élaboré et publié au cours de l’été 2015 sa propre méthode pour mener l’étude d’impact sur la vie privée, sous forme de deux guides consacrés respectivement à la démarche méthodologique et à l’outillage (guide sur la méthode : http://www.cnil.fr/fileadmin/documents/Guides_pratiques/CNIL-PIA-1-Methode.pdf  ; guide sur l’outillage : http://www.cnil.fr/fileadmin/documents/Guides_pratiques/CNIL-PIA-2-Outillage.pdf ).

Groupe 29

Lignes directrices concernant l’analyse d’impact relative à la protection des données
(AIPD) et la manière de déterminer si le traitement est «susceptible d’engendrer un
risque élevé» aux fins du règlement (UE) 2016/679 (4 octobre 2017)

(Approuvées par le CEPD)

Le règlement (UE) 2016/679 (RGPD) s’appliquera à partir du 25 mai 2018. De la même manière que la directive 2016/680, l’article 35 du RGPD introduit la notion d’analyse d’impact relative à la protection des données (AIPD),

Une AIPD est un processus dont l’objet est de décrire le traitement, d’en évaluer la nécessité ainsi que la proportionnalité et d’aider à gérer les risques pour les droits et libertés des personnes physiques liés au traitement de leurs données à caractère personnel, en les évaluant et en déterminant les mesures nécessaires pour y faire face. Les AIPD sont un outil important au regard du principe de responsabilité, compte tenu de leur utilité pour les responsables du traitement non seulement aux fins du respect des exigences du RGPD, mais également en ce qui concerne leur capacité à démontrer que des mesures appropriées ont été prises pour assurer la conformité au règlement (voir également l’article 24). Autrement dit, une AIPD est un processus qui vise à assurer la conformité aux règles et à pouvoir en apporter la preuve.

En vertu du RGPD, le non-respect des exigences applicables en matière d’AIPD peut donner lieu à des amendes imposées par l’autorité de contrôle compétente. Le fait de ne pas effectuer d’AIPD alors que le traitement est soumis à l’obligation d’une telle analyse (article 35, paragraphes 1, 3 et 4), de réaliser l’analyse d’une manière incorrecte (article 35, paragraphes 2 et 7 à 9) ou de ne pas consulter l’autorité de contrôle compétente lorsque la situation l’exige (article 36, paragraphe 3, point e), est passible d'une amende administrative pouvant s'élever jusqu'à 10 000 000 EUR ou, dans le cas d'une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.

Lien

Guidelines 3/2019 on processing of personal data through video devices (29 January 2020)

These guidelines aim at giving guidance on how to apply the GDPR in relation to processing personal data through video devices.

Systematic automated monitoring of a specific space by optical or audio-visual means, mostly for property protection purposes, or to protect individual´s life and health, has become a significant phenomenon of our days. This activity brings about collection and retention of pictorial or audio-visual information on all persons entering the monitored space that are identifiable on basis of their looks or other specific elements. Identity of these persons may be established on grounds of these details. It also enables further processing of personal data as to the persons´ presence and behaviour in the given space. The potential risk of misuse of these data grows in relation to the dimension of the monitored space as well as to the number of persons frequenting the space. This fact is reflected by the General Data Protection Regulation in the Article 35 (3) (c) which requires the carrying out of a data protection impact assessment in case of a systematic monitoring of a publicly accessible area on a large scale, as well as in Article 37 (1) (b) which requires processors to designate a data protection officer, if the processing operation by its nature entails regular and systematic monitoring of data subjects.

Lien

Autres

Délibération n° 2018-303 du 06 septembre 2018 portant adoption d'une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance et abrogeant la délibération n° 2017-222 du 20 juillet 2017 (CNIL)

La Commission a adopté une délibération, le 19 juin 2003, portant adoption d'une recommandation relative au stockage et à l'utilisation du numéro de carte bancaire dans le secteur de la vente à distance. Dix ans après l'adoption de cette recommandation, la Commission a adopté une nouvelle délibération visant à l'actualiser et à proposer des préconisations concrètes à l'utilisation du numéro de carte bancaire par les professionnels de la vente à distance dans un traitement automatisé. Elle estime aujourd'hui nécessaire d'actualiser sa recommandation au regard de l'évolution des pratiques du commerce en ligne, ainsi que de celle du cadre légal et technologique.

Les dispositions de la présente recommandation, qui abroge celle de 2017, s'appliquent au traitement de données relatives à la carte de paiement (carte interbancaire ou dispositif similaire), ci-après « la carte », lors de toute vente d'un bien ou fourniture d'une prestation de service conclu, sans la présence physique simultanée des parties, entre un consommateur (personne physique) et un professionnel, et qui, pour la conclusion de ce contrat, utilisent exclusivement une ou plusieurs techniques de communication à distance (Internet, téléphone, etc.).

Les cartes de paiement visées sont celles qui permettent notamment d'effectuer des achats chez un commerçant ou un prestataire de services affiliés à un réseau de paiement national ou international (système CB, Visa, MasterCard, etc.) mais aussi les cartes de paiement dites privatives (cartes émises par les commerçants ou par les établissements financiers spécialisés dans le crédit à la consommation) et accréditives (carte présentée par un adhérent à un fournisseur affilié au réseau de l'émetteur de la carte).
La Commission précise que l'article 35 du RGPD prévoit la conduite d'une analyse d'impact relative à la protection des données (AIPD), lorsqu‘un traitement de données personnelles est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, compte tenu notamment de la nature des données traitées. A cet égard, la Commission rappelle que les données financières, dont les données relatives aux cartes de paiement, sont qualifiées de « données à caractère hautement personnel » compte tenu de la gravité des impacts pour les personnes concernées que leur violation pourrait engendrer (utilisation pour des paiements frauduleux par exemple).
La Commission rappelle aux organismes qui mettraient en œuvre un tel traitement de données de paiement qu'ils sont susceptibles d'être tenus, selon l'ampleur du traitement et les modalités de sa mise en œuvre, de réaliser une AIPD.

Lien

Délibération n° 2019-053 du 25 avril 2019 portant adoption d'une recommandation relative à la sécurité des systèmes de vote par correspondance électronique, notamment via Internet (CNIL)

A titre liminaire, la Commission observe que le constat, réalisé lors de l’adoption de sa recommandation de 2010, du développement et de l’extension des systèmes de vote par correspondance électronique, notamment via Internet, à un nombre croissant d’opérations de vote et de types de vote, reste d’actualité.

La Commission souligne que le recours à de tels systèmes doit s'inscrire dans le respect des principes fondamentaux qui commandent les opérations électorales : le secret du scrutin sauf pour les scrutins publics, le caractère personnel et libre du vote, la sincérité des opérations électorales, la surveillance effective du vote et le contrôle a posteriori par le juge de l'élection. Ces systèmes de vote par correspondance électronique, notamment via Internet, doivent également respecter les prescriptions des textes constitutionnels, législatifs et réglementaires en vigueur.

Devant l’extension continue du vote par Internet à tous types d’élections, la Commission souhaite rappeler que le vote par correspondance électronique, notamment via Internet, présente des difficultés accrues au regard des principes susmentionnés pour les personnes chargées d’organiser le scrutin et celles chargées d’en vérifier le déroulement, principalement à cause de l’opacité et de la technicité importante des solutions mises en œuvre, ainsi que de la très grande difficulté de s’assurer de l’identité et de la liberté de choix de la personne effectuant les opérations de vote à distance.

Au cours des travaux que la Commission a menés depuis 2003 et compte tenu des menaces qui pèsent sur ces dispositifs, elle a, en effet, pu constater que les systèmes de vote existants ne fournissaient pas encore toutes les garanties exigées par les textes légaux. Dès lors et en particulier, compte-tenu des éléments précités, la Commission reste réservée quant à l’utilisation de dispositifs de vote par correspondance électronique, notamment via Internet, pour des élections politiques.

La présente délibération a pour objet de revoir la recommandation de 2010 à l’aune des opérations électorales intervenues depuis, de l’évolution des solutions de vote proposées par les prestataires du secteur, des retours effectués par les différentes parties prenantes, des contrôles réalisés par la CNIL ainsi que de l’évolution du cadre juridique relatif à la protection des données.

La nouvelle recommandation a pour champ d'application les dispositifs de vote par correspondance électronique, en particulier via Internet. Elle ne concerne pas les dispositifs de vote par codes-barres, les dispositifs de vote par téléphone fixe ou mobile, ni les systèmes informatiques mis à disposition des votants sous forme de boîtiers de vote ou en isoloirs (dites machines à voter ). Elle est destinée à fixer, de façon pragmatique, les objectifs de sécurité que doit atteindre tout dispositif de vote par correspondance électronique, notamment via Internet, en fonction des risques que présente le déroulement du vote. Les réponses apportées par les systèmes à ces objectifs de sécurité doivent ainsi prendre en compte le contexte et les menaces qui pèsent sur le scrutin.

Lien