AIPD : obligatoire lorsque le traitement crée un risque élevé

Une analyse d’impact relative à la protection des données (AIPD) est un processus structuré visant à recenser et à réduire au minimum les risques pour la protection des données avant le début du traitement. Il ne s’agit pas d’une bonne pratique facultative : l’article 35 du GDPR la rend obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Les cas courants qui déclenchent cette obligation comprennent la surveillance systématique de personnes (par exemple, par vidéosurveillance dans un centre commercial), le traitement à grande échelle de catégories particulières de données (santé, biométrie, opinions politiques) ou l’utilisation de nouvelles technologies selon des modalités inédites (par exemple, le profilage par l’IA aux fins d’évaluation de la solvabilité). Le contraste essentiel est le suivant : un traitement à faible risque, comme une lettre d’information destinée au personnel, ne nécessite pas d’AIPD, tandis qu’un traitement à risque élevé en exige toujours une.

Pour repérer rapidement une question relative à l’AIPD, recherchez dans la situation présentée des mots-clés tels que « systématique », « à grande échelle », « données sensibles » ou « nouvelle technologie ». Si le traitement implique le profilage, le suivi de la localisation ou l’évaluation de personnes (par exemple, de leurs performances professionnelles), il s’agit d’un signal d’alerte indiquant un risque élevé. Une technique d’élimination utile : si une réponse présente l’AIPD comme facultative, elle est presque certainement erronée lorsque les faits révèlent un risque élevé. Autre indice : l’AIPD doit être réalisée avant le début du traitement, et non après une violation ; un piège lié à la chronologie pourrait donc tenter de la présenter comme une mesure réactive.

Retenez l’élément déclencheur grâce au mot « HIGH » : H pour les données de santé ou biométriques (« health/biometric data »), I pour les technologies innovantes (« innovative technology »), G pour la collecte à grande échelle (« large-scale gathering ») et H pour le profilage à haut risque (« high-risk profiling »). Si l’un de ces éléments apparaît, l’AIPD est obligatoire et non simplement souhaitable. Pour vous tester, demandez-vous : « Ce traitement susciterait-il chez une personne raisonnable des inquiétudes concernant sa vie privée ? » Si oui, une AIPD est requise.