- Le Comité européen de la protection des données (CEPD) a examiné les “listes noires” nationales et demande leur alignement sur les lignes directrices de l’article 29 pour une application uniforme du RGPD.
- Certains types de données (biométriques, génétiques) ou des combinaisons de critères déclenchent en principe une analyse d’impact relative à la protection des données ; d’autres opérations seules ne déclenchent jamais d’analyse d’impact.
Depuis l’entrée en vigueur du RGPD le 25 mai 2018, les autorités de protection des données de 22 États membres de l’UE ont établi des “listes noires” concernant les critères de réalisation d’analyses d’impact sur la protection des données conformément à l’article 35 du RGPD. Ces listes contiennent des critères qui, lors du traitement des données, sont susceptibles d’entraîner un risque élevé pour les droits et libertés des personnes concernées et qui exigent donc une analyse d’impact relative à la protection des données. En ce qui concerne certaines opérations de traitement des données, notamment celles qui sont liées à l’offre de biens et de services aux personnes concernées ou à l’observation de leur comportement, ainsi que les opérations de traitement susceptibles de restreindre considérablement la “libre circulation des données”, ces listes doivent être examinées au préalable dans le cadre de la procédure de cohérence. L’objectif premier d’une telle procédure est de permettre aux autorités de protection des données des États membres de coopérer sur des questions fondamentales afin de garantir une application uniforme du RGPD dans les différents États membres et de tenir ainsi compte au mieux de l’objectif d’un marché unique en matière de protection des données.
C’est dans ce contexte que le Comité européen de la protection des données (“CEPD”), le soi-disant successeur du groupe de travail de l’article 29, a examiné ces “listes noires” et publié ses avis sur les différentes listes. Vous trouverez ici un aperçu des différents rapports : https://edpb.europa.eu/our-work-tools/consistency-findings/opinions_de. Jusqu’à présent, l’AESP n’a pas formulé de critères propres pour l’évaluation des risques dans le contexte des analyses d’impact relatives à la protection des données. Les principes suivants peuvent toutefois être déduits des différents avis :
- Principes généraux
- En ce qui concerne le concept d’analyse d’impact relative à la protection des données, les lignes directrices publiées par le groupe de travail “Article 29” dans le Working Paper 248 https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611236 Les listes de contrôle, qui ont été élaborées à cet effet, constituent l’élément clé pour garantir une mise en œuvre aussi uniforme que possible dans les différents États membres. Le CEPD encourage les États membres à mentionner ce fait dans leurs listes et à préciser que leurs listes doivent être considérées comme des dispositions d’exécution des lignes directrices.
- Dans ce contexte, les critères formulés dans les lignes directrices concernant l’évaluation de la nécessité d’une analyse d’impact relative à la protection des données doivent être déterminants pour l’élaboration ultérieure des listes. Les listes “noires” et “blanches” doivent donc être établies sur la base de ces critères, une analyse d’impact relative à la protection des données devant en principe être effectuée lorsque deux critères sont réunis.
- Même si les listes doivent être établies dans l’optique d’une mise en œuvre aussi uniforme que possible, cela ne signifie pas qu’elles doivent être identiques ; les autorités nationales chargées de la protection des données doivent néanmoins disposer d’une marge d’appréciation suffisante lors de l’élaboration de leurs listes, lorsqu’il s’agit de tenir compte des spécificités nationales ; l’objectif premier doit être d’éviter toute incohérence majeure dans la mise en œuvre de l’article 35 du RGPD, ce qui pourrait entraîner une protection différente des sujets de données concernés.
2. Principes spécifiques aux critères
- Dans certaines circonstances, certains traitements de données nécessitent nonobstant les conditions de l’article 35, paragraphe 3, du RGPD une analyse d’impact sur la protection des données. C’est notamment le cas pour les traitements de données liés aux données biométriques ou génétiques. Dans ses avis, l’AESP a donc précisé que si de telles données sont disponibles en combinaison avec un autre critère, les traitements correspondants doivent faire l’objet d’une analyse d’impact relative à la protection des données.
- Certaines opérations de traitement des données ne sont toutefois jamais suffisantes en soi pour déclencher l’obligation de procéder à une analyse d’impact relative à la protection des données. C’est le cas, par exemple, des constellations de responsables conjoints dans lesquelles des données provenant de sources différentes sont traitées ultérieurement ou lorsque des traitements de données sont liés à des interfaces d’appareils électroniques personnels.
- En outre, une analyse d’impact sur la protection des données doit être effectuée pour certains traitements de données. seulement lorsqu’au moins un critère supplémentaire s’ajoute à la nature des données traitées. C’est par exemple le cas pour les traitements de “géodonnées” (“location data”) ainsi que pour les traitements de données collectées par des tiers. Ces deux cas de figure requièrent au moins un critère supplémentaire pour pouvoir déclencher, le cas échéant, une analyse d’impact relative à la protection des données.
- Le CEPD est également d’avis que les mesures de surveillance des employés peuvent donner lieu à une analyse d’impact relative à la protection des données si elles remplissent le critère des “personnes particulièrement vulnérables” et celui de la “surveillance systématique”. Il encourage les États membres à inclure explicitement ces deux critères dans la liste lorsqu’il s’agit de mesures de surveillance concernant des employés et souligne – par souci de cohérence – que l’interprétation de la “surveillance systématique” doit se faire sur la base des lignes directrices.