Faut-il un avocat pour réaliser une AIPD ?

Non : aucun article du RGPD n’impose de recourir à un avocat pour réaliser une analyse d’impact relative à la protection des données (AIPD). Le règlement confie l’AIPD au responsable du traitement, qui demande conseil à son délégué à la protection des données (DPO) s’il en a désigné un.

Source : règlement (UE) 2016/679, texte français sur EUR-Lex.

Qui réalise l’AIPD selon le texte

L’article 35, paragraphe 1, désigne l’auteur : « le responsable du traitement effectue, avant le traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données à caractère personnel ».

L’article 35, paragraphe 2, nomme le seul conseil prévu : « Lorsqu’il effectue une analyse d’impact relative à la protection des données, le responsable du traitement demande conseil au délégué à la protection des données, si un tel délégué a été désigné. »

L’article 39, paragraphe 1, point c), range parmi les missions du DPO celle de « dispenser des conseils, sur demande, en ce qui concerne l’analyse d’impact relative à la protection des données et vérifier l’exécution de celle-ci en vertu de l’article 35 ».

Quand un conseil juridique extérieur peut être utile

C’est une appréciation, pas une obligation tirée du texte. Un regard juridique extérieur peut aider lorsque la base légale du traitement est discutée, lorsque des catégories particulières de données (article 9) sont en jeu, lorsque des transferts hors de l’Union sont envisagés, ou lorsque l’AIPD conclut à un risque résiduel élevé et prépare une consultation de l’autorité. Il peut aussi être utile en l’absence de DPO. Dans tous les cas, l’AIPD reste celle du responsable du traitement.

Ce que l’AIPD doit contenir au minimum

L’article 35, paragraphe 7, dispose : « L’analyse contient au moins :

a) une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l’intérêt légitime poursuivi par le responsable du traitement ;
b) une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ;
c) une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1 ; et
d) les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées. »

Et ensuite

Une AIPD doit décrire les mesures de sécurité qui protègent le traitement (RGPD, article 35, paragraphe 7, point d). Si ce traitement passe par Microsoft 365 (messagerie, partages, Teams), SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration réellement en place et vous donnera des faits utiles pour rédiger cette section. Ce diagnostic décrira des faits de configuration ; il ne garantira pas la conformité du traitement.

SYAGA Audit pour votre AIPD : obtenir le score gratuit

Si le risque reste élevé : la consultation préalable

L’article 36, paragraphe 1, dispose : « Le responsable du traitement consulte l’autorité de contrôle préalablement au traitement lorsqu’une analyse d’impact relative à la protection des données effectuée au titre de l’article 35 indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque. »

Pour aller plus loin

Voyez quand une AIPD est-elle obligatoire selon la CNIL, faut-il une AIPD pour un agent conversationnel, quel modèle d’AIPD propose la CNIL et que disent les lignes directrices WP248 sur l’AIPD.