Que disent les lignes directrices WP248 sur l'AIPD ?
Les lignes directrices WP248 rév. 01 donnent neuf critères pour repérer un traitement « susceptible d’engendrer un risque élevé » : dans la plupart des cas, un traitement qui en remplit deux nécessite une analyse d’impact (AIPD). Adoptées par le Groupe de travail « Article 29 » le 4 octobre 2017 dans leur version révisée.
Les neuf critères
- Évaluation ou notation, y compris les activités de profilage et de prédiction
- Prise de décisions automatisée avec effet juridique ou effet similaire significatif
- Surveillance systématique
- Données sensibles ou données à caractère hautement personnel
- Données traitées à grande échelle
- Croisement ou combinaison d’ensembles de données
- Données concernant des personnes vulnérables
- Utilisation innovante ou application de nouvelles solutions technologiques ou organisationnelles
- Traitements en eux-mêmes qui « empêchent [les personnes concernées] d’exercer un droit ou de bénéficier d’un service ou d’un contrat »
La règle des deux critères
Le texte dit : « Dans la plupart des cas, le responsable du traitement peut considérer qu’un traitement satisfaisant à deux critères nécessite une AIPD. » Il ajoute que « plus le traitement remplit de critères, plus il est susceptible de présenter un risque élevé », et qu’un seul critère peut, dans certains cas, suffire à justifier une AIPD.
Quand une AIPD n’est pas nécessaire
Selon le GT29, une AIPD n’est pas nécessaire :
- lorsque le traitement n’est pas « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques » ;
- lorsqu’il est très similaire, en nature, portée, contexte et finalités, à un traitement qui a déjà fait l’objet d’une AIPD ;
- lorsqu’il a été examiné par une autorité de contrôle avant mai 2018 dans des conditions qui n’ont pas changé ;
- lorsqu’il repose sur une base juridique du droit de l’Union ou d’un État membre et qu’une AIPD a déjà été réalisée lors de l’établissement de cette base ;
- lorsqu’il figure dans la liste, établie par l’autorité de contrôle, des opérations qui ne requièrent pas d’AIPD.
Et ensuite
Une AIPD doit décrire les mesures de sécurité qui protègent le traitement (RGPD, article 35, paragraphe 7, point d). Si ce traitement passe par Microsoft 365 (messagerie, partages, Teams), SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration réellement en place et vous donnera des faits utiles pour rédiger cette section. Ce diagnostic décrira des faits de configuration ; il ne garantira pas la conformité du traitement.
SYAGA Audit pour votre AIPD : obtenir le score gratuit
Pour aller plus loin
Voyez quand une AIPD est-elle obligatoire selon la CNIL, faut-il une AIPD pour un agent conversationnel et quel modèle d’AIPD propose la CNIL.
À lire aussi
Sur Microsoft 365 : comment savoir si votre Microsoft 365 est bien sécurisé, et la façon dont SYAGA Audit traite ce qu'il lit, décrite sur sa page sécurité. Pour la liste complète de la CNIL, la méthode PIA et le cas de la messagerie, de Teams et de Copilot : CNIL et DPIA, la synthèse.
Les obligations voisines : le RGPD pour une PME, NIS2, la politique de sécurité (PSSI) et la charte informatique.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit mesure votre environnement Microsoft 365 à une date donnée ; il ne se substitue pas à une démarche complète de mise en règle et ne garantit pas que vous respectiez une règle ou une réglementation. Les mesures reprennent les thèmes de l'ISO/IEC 27001 ; SYAGA n'a fait l'objet d'aucun audit par un organisme tiers sur cette norme.
Source : lignes directrices WP248 rév. 01 du Groupe de travail « Article 29 » (texte français publié par la CNIL). Cette page informe ; elle ne constitue pas un conseil juridique.