- La fiche d’information du PFPDT clarifie les obligations en matière de DSFA : Des critères absolus (art. 22, al. 2) et de nombreux facteurs de risque relatifs déterminent l’exigence de la DSFA.
- En cas de présentation obligatoire, le PFPDT examine les risques nets et la compatibilité avec la protection des données ; il peut soulever des objections, ouvrir des enquêtes et prononcer des interdictions.
Le 30 août 2023, peu avant l’entrée en vigueur de la nouvelle LPD, le PFPDT a publié une Fiche d’information sur les analyses d’impact relatives à la protection des données (DSFA) a été publiée. L’annexe 2 contient une proposition de contenu ou de structure d’une DSFA.
Comme chacun sait, les AIPD sont les études d’impact du droit de la protection des données : lorsqu’un projet, une application ou une autre activité de traitement présente un certain potentiel de risque, les risques réels – pour les personnes concernées et non pour l’entreprise – doivent être évalués de manière structurée et documentée, afin de servir de base aux décisions ultérieures du responsable.
De nombreuses questions se posent alors, par exemple
- Qu’est-ce qu’un “traitement” pouvant faire l’objet d’une DSFA ?? L’art. 22, al. 1, LPD répond en partie à cette question dans la mesure où une AIPD peut concerner “plusieurs opérations de traitement similaires” – le critère déterminant n’est donc pas la notion de traitement ou d’opération de traitement (là encore, la terminologie de la LPD n’est pas claire), mais le profil de risque. Le responsable est toutefois libre de décrire et de délimiter judicieusement l’objet d’une AIPD, notamment par rapport à l’infrastructure utilisée en général et sur laquelle fonctionne une application plus délicate. Et il va de soi que l’on peut également procéder à une DSFA pour des données non personnelles, et il est également clair que les sous-traitants peuvent également procéder à une DSFA s’ils peuvent ainsi mieux commercialiser des produits liés aux données.
- Quand les risques sont-ils potentiellement élevés ?? Quels sont les facteurs qui apparaissent ex ante comme suffisamment délicats pour exiger une AIPD ? Selon l’article 22, alinéa 2 de la LPD, il s’agit du “traitement à grande échelle de données personnelles sensibles” et de la “surveillance systématique de vastes domaines publics”. Il n’est notamment pas clair de savoir quand un traitement est “à grande échelle”. Il est difficile de défendre une approche relative – une part plus importante d’une population donnée, comme par exemple dans le cas des “données clients de masse” des banques -, sinon les clients des petites entreprises seraient mieux protégés que ceux des grandes. Il faut probablement partir de chiffres absolus, le seuil de 5’000 parfois indiqué dans le cadre du RGPD n’ayant pas de fondement suffisant. Un chiffre de 1 000 est arbitraire, mais sans doute plus proche de la réalité. En ce qui concerne la surveillance, il n’est pas clair de savoir ce que sont les “zones publiques”, mais au vu du message, il est probable que seules les zones physiques sont visées, à savoir les gares, les parkings publics, etc. (et pas l’Internet, par exemple). – Des risques élevés peuvent également exister dans d’autres processus, l’art. 22, al. 2 LPD n’est pas exhaustif. En cas de doute, on aura tendance à recourir à la DSFA, parce qu’il s’agit fondamentalement d’un instrument très utile, et aussi parce que les autorités – le PFPDT – demanderont probablement par défaut une DSFA pour les projets les plus délicats.
- Comment une entreprise contrôle-t-elle que la DSFA est effectuée ou, en amont, que les projets sont évalués en fonction des risques pour la protection des données ? La LPD ne donne pas de réponse à ce sujet – il s’agit uniquement d’une question d’efficacité des processus internes à l’entreprise. Il peut être judicieux de consigner certains risques dans le registre des traitements pour tous les traitements, à condition qu’un registre des traitements soit tenu, qu’il soit intégré dans un processus fonctionnel et qu’il soit d’une qualité suffisante. Pour les entreprises présentant peu de risques typiques, un contrôle ad hoc en dehors des processus standardisés peut également suffire, par exemple pour les petites entreprises du secteur de la santé.
- Comment effectuer un DSFA ? Là encore, la LPD est peu contraignante. L’article 22, paragraphe 1, exige seulement “une description du traitement envisagé”, puis une “évaluation des risques” pour les personnes concernées et des “mesures” pour les protéger. La procédure habituelle consiste à déterminer et à décrire l’objet de la DSFA (p. ex. types et flux de données), à effectuer un contrôle de proportionnalité du traitement (car un traitement excessif ne doit pas être examiné en fonction des risques, mais limité), puis à procéder à un examen en une ou plusieurs étapes des risques, des mesures de protection et du risque résultant de l’interaction entre les risques et les mesures. Il n’est pas obligatoire de procéder à un examen général de la conformité au droit de la protection des données, mais au moins lorsque des risques résiduels élevés doivent être acceptés, le responsable procédera en général à une telle évaluation, car le PFPDT posera cette question (voir ci-dessous la procédure du PFPDT en cas de soumission).
Il ne s’agit pas d’une liste exhaustive, mais cela dit en préambule : L’aide-mémoire du PFPDT ne répond que partiellement à ces questions, ce qui est certainement juste, car le PFPDT ne veut et ne peut pas intervenir sans nécessité dans la liberté d’organisation des responsables. Quelques points méritent toutefois d’être relevés :
- Le PFPDT fait à juste titre la distinction entre les risques qui nécessitent toujours une DSFA (qu’il appelle “critères absolus) et entre les facteurs qui entrent en ligne de compte dans le cadre de l’examen plus ouvert du risque brut et qui peuvent, selon les cas, exiger une DSFA (on pourrait les appeler “facteurs de risque brut”).critères relatifs”). Le PFPDT ne cite comme critères absolus que les cas visés à l’article 22, paragraphe 2 (traitement à grande échelle de données personnelles sensibles et surveillance systématique de vastes domaines publics), mais pas le profilage à haut risque. Ce dernier “peut typiquement impliquer un risque élevé”, mais ne le fait apparemment pas toujours. Ce n’est pas nécessairement faux, mais surprenant. – Les autres facteurs de risque, au sens de critères relatifs, correspondent plus ou moins, mais pas tout à fait celui du Comité européen de la protection des donnéesEn cas de doute, il convient de procéder à une analyse des données personnelles :
-
Profilage à haut risque
-
décision individuelle automatisée
-
nouvelles technologies, y compris l’intelligence artificielle
-
collecte secrète de données personnelles [l’EDSA ne le cite pas comme facteur de risque particulier]
-
grande quantité de données
-
grand nombre de personnes
-
traitement de grande envergure du point de vue temporel ou géographique
-
Liaison ou comparaison de bases de données
-
Communication de données personnelles à des tiers [l’EDSA ne le cite pas comme facteur de risque particulier]
-
Surveillance des personnes concernées
-
Les personnes concernées sont empêchées d’exercer un droit, d’utiliser un service ou d’exécuter un contrat.
-
- De son côté, l’EDSA mentionne les critères suivants :
-
Évaluation ou notation [PFPDT : le profilage n’est pas en soi]
-
Prise de décision automatisée avec effet juridique ou similaire significatif
-
Surveillance systématique
-
Données sensibles ou des données de nature très personnelle [le PFPDT ne cite pas les données sensibles]
-
Données traitées à grande échelle
-
Correspondance ou combinaison d’ensembles de données
-
Données concernant des sujets de données vulnérables [le PFPDT ne le mentionne pas]
-
Utilisation innovante ou application de nouvelles solutions technologiques ou organisationnelles
-
Lorsque le traitement en lui-même “empêche les personnes concernées d’exercer un droit ou d’utiliser un service ou un contrat”.
-
- Le site Annonce à l’étranger peut être un facteur de risque. Dans ce cas, un examen particulier est nécessaire ; il s’agit de la “Évaluation de l’impact du transfert”. Le résultat doit être intégré dans le DSFA, par exemple lorsque “des violations potentielles de la personnalité et des droits fondamentaux menacent en raison des possibilités d’action effectives d’autorités étrangères sous un droit étranger”. et que le responsable ne prend pas ce risque “et qu’il n’est donc pas en mesure d’évaluer de manière fiable la probabilité d’occurrence et la gravité de la menace de violation, même après la planification et l’identification des mesures correspondantes dans la DSFA”.. Ce n’est certainement pas faux dans l’approche. Mais il n’est pas exact de dire qu’un risque qui ne peut être évalué de manière fiable a tendance à être élevé ; par mesure de précaution, le responsable peut agir en conséquence, mais il n’est pas obligé de le faire. Il ne peut pas évaluer de nombreux risques de manière fiable, mais il n’est pas non plus obligé de le faire – l’article 2 de l’OCPD exige un niveau de sécurité adapté aux risques, ce qui nécessite une évaluation des risques prévisibles et non de la science-fiction ; en conséquence, le responsable doit travailler avec ce qu’il peut supposer, et non avec des spéculations, même dans le cadre de la DSFA. La phrase suivante est toutefois certainement correcte : “La transparence de ces situations de risque dans le cadre du DSFA implique, le cas échéant, la divulgation du fait qu’elles ne peuvent pas être évaluées de manière fiable”.
- En fonction des résultats de la DSFA, elle doit soumis au PFPDT (art. 23 LPD). Le responsable peut le faire volontairement si les risques nets acceptés et mitigés ne sont pas élevés ou, en cas de risques élevés, si un conseiller à la protection des données a été impliqué dans l’AIPD (soit au total dans 99% des cas). Le PFPDT est toutefois “n’est pas tenu d’entrer en matière et de prendre position sur le fond. Il peut toutefois, à titre exceptionnel, se prononcer sur des risques résiduels qui ne sont plus élevés dans le cadre de son activité de conseil”. Les responsables ne soumettront guère volontairement de DSFA au PFPDT, même au regard de la loi sur la transparence, si ce n’est pour des considérations de réputation, lorsque l’on peut s’attendre à des réactions publiques.
- En cas de soumission ou de consultation obligatoire, le PFPDT procède comme suit :
“Le PFPDT examine si l’AIPD dont il est saisi répond aux exigences élevées de la loi sur la protection des données. présente et déduit les risques nets de manière compréhensible, intelligible et complète. En outre, il vérifie si le traitement prévu, compte tenu des risques à signaler compatible avec les dispositions de la législation sur la protection des données dans son ensemble en ce sens qu’elle s’avère acceptable pour les personnes concernées en ce qui concerne l’ampleur et l’intensité prévues et donc globalement justifiable.
Dans le délai d’ordre de deux mois mentionné à l’art. 23 al. 2 LPD, le PFPDT communique au responsable du traitement ses éventuelles objections. La prise de position du PFPDT est soumise à un émolument (art. 59 LPD). Elle peut porter sur le traitement de données prévu ou sur la conception de la DSFA”.
[…]Si un responsable refuse de se conformer à des objections et suggestions importantes du PFPDT, ce dernier peut lui adresser une lettre de mise en demeure. Enquête et de formaliser en temps voulu les ajouts ou les modifications suggérés, voire l’interdiction du traitement. disposent.