Le rapport AIPD s’adresse aux publics suivants :
- Les personnes qui seront impliquées dans les activités de traitement (généralement le responsable du traitement et, éventuellement, les sous-traitants).
- y compris le délégué à la protection des données (DPD),
- l’autorité de contrôlecompétente, et
- (si possible,) le public.
1.Étant donné que l’AIPD guide les décisions du responsable du traitement et (éventuellement) du (des) sous-traitant(s), le rapport AIPD (dans diff érentes versions et à différents stades d’achèvement) sert d’outil de communication pour le personnel concerné. Ceci est particulièrement important si l’on considère le caractère éventuellement interdisciplinaire du travail, où, par exemple, un type d’expertise est nécessaire pour identifier les risques et un autre pour trouver les mesures techniques d’atténuation adéquates. Son rôle est encore plus important lorsque le personnel change et que l’activité de traitement évolue dans le temps.
2. Les délégués à la protection des données (DPD) ont des responsabilités qui se rapportent directement à l’AIPD. En particulier, ils ont pour tâche de fournir des conseils sur l’AIPD lorsque cela est demandé et de surveiller sa performance[1] .
3. Une autorité de contrôle qui examine si une activité de traitement donnée est conforme au RGPD, peut demander à recevoir un rapport AIPD (si nécessaire) comme preuve que l’obligation de l’article 35 a été satisfaite – et plus généralement pour évaluer la conformité au RGPD. En fait, un rapport AIPD bien rédigé contient toutes les preuves nécessaires pour démontrer que l’activité de traitement est effectivement conforme.
4. La transparence est une exigence clé du RGPD. En conséquence, le groupe de travail Art 29 recommande d’envisager la publication d’au moins une version corrigée de l’AIPD[2] .
- Article 35, paragraphe 1, point c), du RGPD. ↑
- wp248rev.01, page 18, section III.D.d), 2ème paragraphe : “La publication d’une AIPD n’est pas une exigence légale du RGPD, c’est au responsable du traitement de décider de le faire. Cependant, les responsables de traitement doivent envisager de publier au moins des parties, comme un résumé ou une conclusion de leur AIPD.” ↑