En tout état de cause, si un risque élevé est probable, une analyse de l’impact sur la protection des données (AIPD) doit être réalisée avant le traitement (article 35, paragraphe 1, du RGPD). Il s’agit d’une mesure de sauvegarde qui garantit que le traitement impliquant un risque élevé ne peut avoir lieu, à moins que les risques n’aient été identifiés et suffisamment atténués.
Comme indiqué ci-dessus (voir Qu’est-ce qu’uneAIPDci-dessus), uneAIPD est un processus continu qui fournit des orientations pour la conception et la mise en œuvre d’une activité de traitement. Pour guider avec succès les décisions et garantir la conformité au RGPD, il est évident que “[l]’AIPD doit être lancée dès que possible dans la conception du traitement, même si certaines des opérations de traitement sont encore inconnues. La mise à jour de l’AIPD tout au long du cycle de vie [du] projet garantira la prise en compte de la protection des données et de la vie privée et encouragera la création de solutions favorisant la conformité.”[1] Cette approche est évidemment requise par l’obligation de protection des données dès la conception (article 25, paragraphe 1, du RGPD).
Le processus d’uneAIPD n’est pas non plus achevé, une fois que le traitement a commencé. Au contraire, “[l]e cas échéant, le responsable du traitement procède à un examen visant à évaluer si le traitement est effectué conformément à l’[AIPD], au moins lorsque survient un changement du risque que présentent les opérations de traitement.” (Article 35(11) du RGPD). Plusieurs facteurs peuvent modifier le risque, notamment les suivants :
- L’activité de traitement change,
- l’efficacité des mesures d’atténuation change.
Dans le premier cas, un changement peut être causé par une modification de l’utilisation prévue des données (nouvelles finalités du traitement), des modifications de la portée de la collecte et du traitement des données, des modifications du nombre de personnes concernées (par exemple, en raison du succès de l’activité), une modification du logiciel d’application (par exemple, une nouvelle version avec des fonctionnalités supplémentaires), une modification de l’infrastructure technique (par exemple, une migration vers le cloud), ou une modification de la situation juridique (par exemple, une décision de justice qui affecte l’interprétation du RGPD).
Dans ce dernier cas, un changement pourrait être causé par la découverte de nouvelles vulnérabilités dans les mesures d’atténuation (par exemple, des vulnérabilités logicielles), une augmentation des menaces et des capacités des attaquants (par exemple, de nouvelles méthodes pour ré-identifier des données pseudonymes ou anonymes), ou un changement organisationnel qui menace l’efficacité des mesures (par exemple, un nouveau personnel qui n’est pas conscient de ce qui peut être divulgué).
- wp248rev.01, page 14, section III.D.a), 2e paragraphe, surlignage et texte entre parenthèses ajoutés par les auteurs. ↑