L’analyse d’impact relative à la protection des données a mauvaise réputation. On la traite comme une formalité déclenchée par un seuil, on la confie au prestataire qui met en œuvre le traitement, et on la classe.
Le seuil est pourtant la partie facile. Le règlement l’impose lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes ; l’autorité de contrôle publie une liste de traitements qui y sont soumis et une liste de ceux qui en sont dispensés. Une heure de lecture suffit à se situer.
Ce que l’exercice demande réellement
La difficulté n’est pas de savoir s’il faut la faire. Elle est de réunir autour d’une même table des informations qui ne se trouvent jamais au même endroit :
- la finalité exacte du traitement, formulée par le métier et non par la direction informatique
- les données réellement collectées, presque toujours plus nombreuses que celles qui étaient prévues
- les durées de conservation appliquées, qui diffèrent le plus souvent des durées annoncées
- les mesures de sécurité effectives chez le sous-traitant, et non celles qui figurent dans sa plaquette
Aucun de ces quatre éléments n’est détenu par une seule personne. C’est ce qui rend l’exercice inconfortable, et c’est aussi ce qui le rend utile.
Qui doit la porter
Le responsable de traitement. Pas le prestataire, qui a un intérêt direct à conclure que les mesures qu’il propose sont suffisantes. Pas le délégué à la protection des données seul, dont le rôle est de conseiller et de vérifier, non d’arbitrer à la place du métier.
Confier l’analyse à celui qui met en œuvre le traitement revient à lui demander de noter sa propre copie. Cela ne produit pas un faux document : cela produit un document sincère qui ne pose jamais les questions gênantes.
Une analyse d’impact confiée à celui qui met en œuvre le traitement ne ment pas. Elle omet simplement de se demander si le traitement était nécessaire.
Le résultat qu’on doit en attendre
Une analyse utile se conclut par des décisions, non par un score. Elle peut aboutir à réduire les données collectées, à raccourcir une durée de conservation, à exiger un chiffrement ou une localisation, parfois à renoncer à une fonctionnalité dont le gain ne justifie pas le risque.
L’analyse d’impact suppose de savoir quels traitements existent et lesquels sont confiés à des tiers. Ce relevé ne relève pas du droit : c’est ce que produit un audit RGPD mené comme un audit d’écart.
Si elle ne modifie rien au projet, ce n’est pas qu’elle le valide : c’est qu’elle n’a pas été menée. Une analyse dont la conclusion était acquise avant de commencer n’a documenté que la bonne conscience de celui qui l’a commandée.
Questions fréquentes
Quand une AIPD est-elle obligatoire ?
Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’autorité de contrôle publie une liste des traitements qui y sont soumis et une liste de ceux qui en sont dispensés : une heure de lecture suffit à se situer.
Qui doit réaliser l’analyse d’impact relative à la protection des données ?
Le responsable de traitement. Ni le prestataire qui met en œuvre le traitement, qui a intérêt à conclure que ses mesures suffisent, ni le délégué à la protection des données seul, dont le rôle est de conseiller et de vérifier, non d’arbitrer à la place du métier.
Que doit produire une AIPD ?
Des décisions, pas un score : réduire les données collectées, raccourcir une durée de conservation, exiger un chiffrement ou une localisation, parfois renoncer à une fonctionnalité. Une analyse qui ne modifie rien au projet n’a, en pratique, pas été menée.