L'analyse d'impact relative à la protection des données est le document RGPD qu'une entreprise de logiciels rédige en dernier et devrait rédiger en premier : elle est due avant le début du traitement, elle est l'endroit où la fonctionnalité la plus risquée du produit est décrite dans les termes propres du règlement, et elle est ce que l'autorité de contrôle lit lorsqu'une plainte nomme cette fonctionnalité. Cet article lit l'article 35 point par point pour une entreprise qui construit des logiciels et vous remet la page qui décide si une analyse est due et la rédige.

Quand une analyse est due : l'article 35, paragraphe 1, et les trois cas nommés

L'article 35, paragraphe 1, exige une analyse lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de sa nature, de sa portée, de son contexte et de ses finalités, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. L'article 35, paragraphe 3, nomme ensuite trois cas où elle est requise en tout état de cause : (a) une évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, sur laquelle se fondent des décisions produisant des effets juridiques ou d'importance similaire ; (b) le traitement à grande échelle des catégories particulières de l'article 9, paragraphe 1, ou de données pénales au titre de l'article 10 ; (c) la surveillance systématique à grande échelle d'une zone accessible au public.

Pour une entreprise de logiciels, le premier cas est celui qui attrape les fonctionnalités d'un produit : un classement de candidats, un score de crédit ou de fraude, une vérification d'éligibilité automatisée, une décision sur un contenu ou un compte prise par un modèle. C'est une évaluation systématique et approfondie, que quelqu'un l'appelle profilage ou non, et elle déclenche l'analyse. Le deuxième cas attrape les données de santé, biométriques et similaires à grande échelle, le troisième l'analyse vidéo et par capteurs de l'espace public.

Les neuf critères derrière « susceptible d'engendrer un risque élevé »

Hors des trois cas, « susceptible d'engendrer un risque élevé » se lit avec les lignes directrices que le groupe de travail Article 29 a adoptées et que le Comité européen de la protection des données a fait siennes, qui donnent neuf critères : évaluation ou notation ; prise de décision automatisée avec effet juridique ou similaire ; surveillance systématique ; données sensibles ou données à caractère hautement personnel ; données traitées à grande échelle ; croisement ou combinaison d'ensembles de données ; données concernant des personnes vulnérables ; usage innovant ou application de nouvelles solutions technologiques ou organisationnelles ; et traitement qui empêche les personnes concernées d'exercer un droit ou de bénéficier d'un service ou d'un contrat. La règle pratique des lignes directrices est qu'un traitement répondant à deux des critères nécessitera dans la plupart des cas une analyse, et qu'un seul critère peut suffire.

L'article 35, paragraphe 4, exige de chaque autorité de contrôle qu'elle publie une liste des types de traitement soumis à l'analyse, et l'article 35, paragraphe 5, lui permet de publier une liste des types qui ne le sont pas ; les listes diffèrent selon l'État membre, et celle de votre autorité chef de file est celle à lire. Une analyse produit qui combine des données d'usage et des données de compte, une fonction d'IA appliquée au contenu des clients et tout suivi des utilisateurs entre services cochent plusieurs des neuf critères, et une entreprise qui livre ces fonctionnalités est en général dans l'analyse avant même d'atteindre les cas nommés.

Les quatre éléments : l'article 35, paragraphe 7

L'analyse contient au moins : (a) une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable ; (b) une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ; (c) une évaluation des risques pour les droits et libertés des personnes concernées ; (d) les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées.

Deux autres paragraphes façonnent le document. L'article 35, paragraphe 2, exige du responsable qu'il demande conseil au délégué à la protection des données lorsqu'un délégué a été désigné, et l'article 35, paragraphe 9, exige qu'il demande, le cas échéant, l'avis des personnes concernées ou de leurs représentants au sujet du traitement prévu. L'article 35, paragraphe 8, permet de prendre en compte le respect de codes de conduite approuvés dans l'analyse. L'élément (d) est l'endroit où l'analyse rencontre le programme de sécurité : les mesures sont les mesures ISO 27001 et les mesures de protection de la vie privée ISO 27701 que l'entreprise applique déjà, nommées par risque plutôt qu'en général, et la page qui rédige l'analyse étiquette chaque élément du point de l'article 35, paragraphe 7, auquel il répond.

Consultation préalable : l'article 36

Lorsque l'analyse indique que le traitement présenterait un risque élevé si le responsable ne prenait pas de mesures pour atténuer le risque, l'article 36, paragraphe 1, exige que le responsable consulte l'autorité de contrôle avant le traitement. L'article 36, paragraphe 2, donne à l'autorité huit semaines pour fournir un avis écrit, prolongeables de six semaines en fonction de la complexité du traitement, et lui permet d'user de tout pouvoir prévu à l'article 58. L'article 36, paragraphe 3, énumère ce que la consultation fournit : les responsabilités respectives du responsable, des responsables conjoints et des sous-traitants, les finalités et les moyens, les mesures et garanties, les coordonnées du délégué, l'analyse elle-même, et toute autre information demandée par l'autorité. En pratique la consultation est rare, parce que l'élément (d) est rédigé pour ramener le risque résiduel à un niveau acceptable ; la page pose la question du risque résiduel en dernier et n'écrit le paragraphe sur l'article 36 que si la réponse est qu'un risque élevé subsiste.

Le réexamen, et l'amende

L'article 35, paragraphe 11, exige du responsable qu'il procède, si nécessaire, à un réexamen de l'analyse, au moins quand il y a un changement du risque présenté par les opérations de traitement ; un nouveau modèle, une nouvelle source de données ou une nouvelle finalité est un tel changement. L'article 83, paragraphe 4, point a, fixe le plafond pour une violation des articles 35 et 36 à EUR 10 millions ou 2 % du chiffre d'affaires annuel mondial, et les décisions des autorités sur l'analyse tournent autour de deux constats : si une analyse existait avant le début du traitement, et si son élément (d) nommait des mesures qui ont ensuite été réellement appliquées.

La rédiger

La page de l'analyse d'impact pose les trois questions de l'article 35, paragraphe 3, dans les mots propres du règlement, puis la question de l'article 35, paragraphe 1, lorsqu'aucune ne s'applique, rédige la lecture avec la disposition derrière elle, et prend les quatre éléments en saisie, étiquetés du point lui-même ; la question du risque résiduel décide si le paragraphe sur l'article 36 est ajouté. Le résultat est l'analyse sous forme de document à copier ou télécharger, une par activité de traitement, gardée à côté du registre des traitements qui décrit l'activité ; la détermination des obligations transmet ses trois réponses pour que les questions ne soient posées qu'une fois.