Le risque est un concept important dans le RGPD[1] . Le point de vue présenté, selon lequel la protection des données consiste à corriger le déséquilibre des pouvoirs entre le responsable du traitement et la personne concernée, clarifie également la notion de risque :
Le risque principal est que le traitement des données à caractère personnel entraîne effectivement un déséquilibre de pouvoir qui restreint les droits et libertés des personnes concernées. De ce point de vue, il devient clair que le risque n’est pas qu’un événement indésirable se produise (comme une attaque ou une catastrophe naturelle), mais plutôt que le responsable du traitement exerce un pouvoir excessif sur les personnes concernées.
Il convient de noter que cette conception du risque est très différente du risque en matière de cybersécurité. Dans ce domaine, le responsable du traitement est généralement considéré comme le “gentil” qui se défend contre des “attaques” essentiellement externes. En revanche, en matière de protection des données, le comportement du responsable du traitement, c’est-à-dire l’activité de traitement, est la source du risque. La probabilité que cela se produise est de 100 %. Contrairement à la cybersécurité, les responsables du traitement doivent désormais protéger la personne concernée, plus faible, du risque résultant de leur propre traitement. Les responsables du traitement ne sont donc plus automatiquement les bons, mais doivent faire des efforts explicites pour ne pas devenir eux-mêmes des méchants.
Pour les personnes principalement familiarisées avec la cybersécurité, comprendre la protection des données peut nécessiter un changement mental important. Comprendre cette différence est un prérequis pour être en mesure de se conformer au RGPD. Pour une lecture plus approfondie, nous vous recommandons l’article[2] sur les huit différents types de risques.
- Voir par exemple les art. 24(1), 35(1) et les considérants 75 et 84. ↑
- Martin Rost, Risques dans le contexte de la protection des données, http://www.maroki.de/pub/privacy/Rost_Martin_2019-02_Risk:_8types_v1.pdf (dernière visite le 8/5/2020). ↑