L'analyse d'impact relative à la protection des données (AIPD) est exigée par l'article 35 du RGPD lorsqu'un traitement est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes ». La formule laisse une marge d'appréciation, mais le DPO dispose de trois repères pour trancher.
Premier repère : les cas prévus par le RGPD
L'article 35 cite lui-même trois situations qui imposent une AIPD : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, lorsqu'elle produit des effets juridiques ou significatifs ; le traitement à grande échelle de données sensibles ou relatives aux condamnations ; la surveillance systématique à grande échelle d'une zone accessible au public.
Deuxième repère : la liste de la CNIL
La CNIL a publié une liste des types de traitements pour lesquels une AIPD est requise : par exemple certains traitements de données de santé, de géolocalisation à grande échelle ou de surveillance des salariés. Si le traitement figure sur cette liste, la question est réglée. La CNIL a également publié une liste de traitements pour lesquels une AIPD n'est pas requise.
Troisième repère : les neuf critères européens
Pour les autres cas, les lignes directrices européennes proposent neuf critères. Selon ces lignes directrices, un traitement qui en remplit au moins deux doit, en règle générale, faire l'objet d'une AIPD :
- Évaluation ou notation, y compris le profilage.
- Décision automatisée avec effet juridique ou effet similaire significatif.
- Surveillance systématique.
- Données sensibles ou à caractère hautement personnel.
- Traitement à grande échelle.
- Croisement ou combinaison d'ensembles de données.
- Personnes vulnérables (salariés, patients, mineurs...).
- Usage innovant ou application de nouvelles solutions technologiques.
- Traitement qui empêche les personnes d'exercer un droit ou de bénéficier d'un service.
Le cas des outils d'IA
Les outils d'IA qui traitent des données de salariés ou de clients cumulent souvent plusieurs critères : usage innovant, personnes vulnérables dans le cas des salariés, parfois évaluation ou croisement de données. Un outil d'IA connecté à la messagerie professionnelle, par exemple, mérite presque toujours une analyse attentive de ce point de vue.
Documenter la décision, dans les deux sens
Qu'une AIPD soit réalisée ou non, la décision doit être tracée : critères examinés, conclusion, date et auteur. Une décision de ne pas réaliser d'AIPD, argumentée et conservée, protège autant l'organisation qu'une AIPD réalisée. À l'inverse, l'absence de toute trace ne permet pas de démontrer que la question a été posée.