Ven­te à emporter (AI)
  • Le Comi­té euro­pé­en de la pro­tec­tion des don­nées (CEPD) a exami­né les “listes noi­res” natio­na­les et deman­de leur ali­gne­ment sur les lignes direc­tri­ces de l’ar­tic­le 29 pour une appli­ca­ti­on uni­for­me du RGPD.
  • Cer­ta­ins types de don­nées (bio­mé­tri­ques, géné­ti­ques) ou des com­bi­nai­sons de critères déclen­chent en prin­ci­pe une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées ; d’aut­res opé­ra­ti­ons seu­les ne déclen­chent jamais d’ana­ly­se d’impact.

Depuis l’en­trée en vigueur du RGPD le 25 mai 2018, les auto­ri­tés de pro­tec­tion des don­nées de 22 États mem­bres de l’UE ont éta­b­li des “listes noi­res” con­cer­nant les critères de réa­li­sa­ti­on d’ana­ly­ses d’im­pact sur la pro­tec­tion des don­nées con­for­mé­ment à l’ar­tic­le 35 du RGPD. Ces listes con­ti­en­nent des critères qui, lors du trai­te­ment des don­nées, sont sus­cep­ti­bles d’en­traî­ner un ris­que éle­vé pour les droits et liber­tés des per­son­nes con­cer­nées et qui exi­gent donc une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. En ce qui con­cer­ne cer­tai­nes opé­ra­ti­ons de trai­te­ment des don­nées, notam­ment cel­les qui sont liées à l’off­re de biens et de ser­vices aux per­son­nes con­cer­nées ou à l’ob­ser­va­ti­on de leur com­porte­ment, ain­si que les opé­ra­ti­ons de trai­te­ment sus­cep­ti­bles de rest­reind­re con­sidé­ra­blem­ent la “lib­re cir­cula­ti­on des don­nées”, ces listes doi­vent être exami­nées au pré­alable dans le cad­re de la pro­cé­du­re de cohé­rence. L’ob­jec­tif pre­mier d’u­ne tel­le pro­cé­du­re est de per­mett­re aux auto­ri­tés de pro­tec­tion des don­nées des États mem­bres de coopé­rer sur des que­sti­ons fon­da­men­ta­les afin de garan­tir une appli­ca­ti­on uni­for­me du RGPD dans les dif­fér­ents États mem­bres et de tenir ain­si comp­te au mieux de l’ob­jec­tif d’un mar­ché uni­que en matiè­re de pro­tec­tion des données.

C’est dans ce con­tex­te que le Comi­té euro­pé­en de la pro­tec­tion des don­nées (“CEPD”), le soi-disant suc­ce­s­seur du grou­pe de tra­vail de l’ar­tic­le 29, a exami­né ces “listes noi­res” et publié ses avis sur les dif­fé­ren­tes listes. Vous trou­verez ici un aper­çu des dif­fér­ents rap­ports : https://edpb.europa.eu/our-work-tools/consistency-findings/opinions_de. Jus­qu’à pré­sent, l’AESP n’a pas for­mulé de critères pro­pres pour l’éva­lua­ti­on des ris­ques dans le con­tex­te des ana­ly­ses d’im­pact rela­ti­ves à la pro­tec­tion des don­nées. Les prin­cipes sui­vants peu­vent tou­te­fois être déduits des dif­fér­ents avis :

  1. Prin­cipes généraux
  • En ce qui con­cer­ne le con­cept d’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées, les lignes direc­tri­ces publiées par le grou­pe de tra­vail “Artic­le 29” dans le Working Paper 248 https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611236 Les listes de con­trô­le, qui ont été éla­bo­rées à cet effet, con­sti­tu­ent l’é­lé­ment clé pour garan­tir une mise en œuvre aus­si uni­for­me que pos­si­ble dans les dif­fér­ents États mem­bres. Le CEPD encou­ra­ge les États mem­bres à men­ti­on­ner ce fait dans leurs listes et à pré­cis­er que leurs listes doi­vent être con­sidé­rées com­me des dis­po­si­ti­ons d’exé­cu­ti­on des lignes directrices.
  • Dans ce con­tex­te, les critères for­mulés dans les lignes direc­tri­ces con­cer­nant l’éva­lua­ti­on de la néces­si­té d’u­ne ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées doi­vent être déter­mi­nants pour l’é­la­bo­ra­ti­on ulté­ri­eu­re des listes. Les listes “noi­res” et “blan­ches” doi­vent donc être éta­b­lies sur la base de ces critères, une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées devant en prin­ci­pe être effec­tuée lorsque deux critères sont réunis.
  • Même si les listes doi­vent être éta­b­lies dans l’op­tique d’u­ne mise en œuvre aus­si uni­for­me que pos­si­ble, cela ne signi­fie pas qu’el­les doi­vent être iden­ti­ques ; les auto­ri­tés natio­na­les char­gées de la pro­tec­tion des don­nées doi­vent néan­mo­ins dis­po­ser d’u­ne mar­ge d’ap­pré­cia­ti­on suf­fi­san­te lors de l’é­la­bo­ra­ti­on de leurs listes, lorsqu’il s’a­git de tenir comp­te des spé­ci­fi­ci­tés natio­na­les ; l’ob­jec­tif pre­mier doit être d’é­vi­ter tou­te incohé­rence majeu­re dans la mise en œuvre de l’ar­tic­le 35 du RGPD, ce qui pour­rait ent­raî­ner une pro­tec­tion dif­fé­ren­te des sujets de don­nées concernés.

2.  Prin­cipes spé­ci­fi­ques aux critères

  • Dans cer­tai­nes cir­con­stances, cer­ta­ins trai­te­ments de don­nées néces­si­tent non­ob­stant les con­di­ti­ons de l’ar­tic­le 35, para­gra­phe 3, du RGPD une ana­ly­se d’im­pact sur la pro­tec­tion des don­nées. C’est notam­ment le cas pour les trai­te­ments de don­nées liés aux don­nées bio­mé­tri­ques ou géné­ti­ques. Dans ses avis, l’AESP a donc pré­cisé que si de tel­les don­nées sont dis­po­ni­bles en com­bi­nai­son avec un aut­re critère, les trai­te­ments cor­re­spond­ants doi­vent fai­re l’ob­jet d’u­ne ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. 
  • Cer­tai­nes opé­ra­ti­ons de trai­te­ment des don­nées ne sont tou­te­fois jamais suf­fi­san­tes en soi pour déclen­cher l’ob­li­ga­ti­on de pro­cé­der à une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. C’est le cas, par exemp­le, des con­stel­la­ti­ons de respons­ables con­joints dans les­quel­les des don­nées pro­venant de sources dif­fé­ren­tes sont trai­tées ulté­ri­eu­re­ment ou lorsque des trai­te­ments de don­nées sont liés à des inter­faces d’ap­pareils élec­tro­ni­ques personnels.
  • En out­re, une ana­ly­se d’im­pact sur la pro­tec­tion des don­nées doit être effec­tuée pour cer­ta­ins trai­te­ments de don­nées. seu­le­ment lorsqu’au moins un critère sup­p­lé­men­tai­re s’a­jou­te à la natu­re des don­nées trai­tées. C’est par exemp­le le cas pour les trai­te­ments de “géo­don­nées” (“loca­ti­on data”) ain­si que pour les trai­te­ments de don­nées coll­ec­tées par des tiers. Ces deux cas de figu­re requiè­rent au moins un critère sup­p­lé­men­tai­re pour pou­voir déclen­cher, le cas échéant, une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des données.
  • Le CEPD est éga­le­ment d’a­vis que les mesu­res de sur­veil­lan­ce des employés peu­vent don­ner lieu à une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées si elles rem­plis­sent le critère des “per­son­nes par­ti­cu­liè­re­ment vul­né­ra­bles” et celui de la “sur­veil­lan­ce sys­té­ma­tique”. Il encou­ra­ge les États mem­bres à inclu­re expli­ci­te­ment ces deux critères dans la liste lorsqu’il s’a­git de mesu­res de sur­veil­lan­ce con­cer­nant des employés et souli­gne – par sou­ci de cohé­rence – que l’in­ter­pré­ta­ti­on de la “sur­veil­lan­ce sys­té­ma­tique” doit se fai­re sur la base des lignes directrices.