Il n’existe pas de méthode standard pour réaliser une analyse d’impact sur les données personnelles. Cependant, l’article 35.7 du RGPD demande des éléments spécifiques qui doivent toujours être présents. Il s’agit de :
- une description systématique des opérations de traitement envisagées ;
- les finalités des opérations de traitement ;
- une évaluation de la nécessité des opérations de traitement au regard des finalités ;
- une évaluation de la proportionnalité des opérations de traitement par rapport aux finalités ;
- une évaluation des risques pour les droits et libertés des personnes concernées ;
- les mesures techniques et organisationnelles envisagées pour faire face aux risques.
Les chercheurs peuvent inclure d’autres éléments pour mieux décrire le traitement et les risques sous-jacents. En outre, si le responsable du traitement des données se rend compte, après avoir réalisé une AIPD, que les risques pour les droits et libertés de la personne concernée ne sont pas suffisamment atténués par les mesures envisagées pour faire face à ces risques, il doit demander une consultation préalable à l’autorité de contrôle suivant la disposition de l’article 36 du RGPD.
La loi ne sanctionne pas un format pour l’AIPD. Celle-ci peut être choisie librement par le responsable du traitement des données. Certaines autorités de protection des données ont toutefois créé des modèles que les responsables du traitement des données peuvent adopter[1] .
L’AIPD n’est pas une activité ponctuelle, mais un processus continu. Ainsi, il peut être nécessaire d’effectuer plusieurs analyses dans le temps, par exemple lorsque les éléments contextuels changent ou lorsque de nouvelles informations deviennent disponibles.
Les résultats des AIPD sont enregistrés et conservés dans la documentation relative à la protection des données.
- Voir par exemple , Commision Nationale Informatique & Libertés, ‘Privacy Impact Assessment (PIA). Templates’, February 2018. ↑