[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:fr:l-analyse-d-impact-rgpd-pour-une-entreprise-de-logiciels-les-trois-cas-les-neuf-criteres-les-quatre-elements-et-une-page-qui-la-redige":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"fr","l-analyse-d-impact-rgpd-pour-une-entreprise-de-logiciels-les-trois-cas-les-neuf-criteres-les-quatre-elements-et-une-page-qui-la-redige","L'analyse d'impact RGPD pour une entreprise de logiciels : les trois cas de l'article 35, paragraphe 3, les neuf critères derrière eux, les quatre éléments de l'article 35, paragraphe 7, et une page qui la rédige","L'article 35 exige une analyse d'impact relative à la protection des données avant tout traitement susceptible d'engendrer un risque élevé, et nomme trois cas où elle est requise en tout état de cause. Quelles fonctionnalités d'un produit y tombent, les neuf critères qu'appliquent les autorités de contrôle et la règle selon laquelle deux d'entre eux signifient le plus souvent une analyse, les listes que les autorités publient au titre de l'article 35, paragraphes 4 et 5, les quatre éléments que l'analyse doit contenir, l'avis du délégué à la protection des données et l'avis des personnes concernées, la consultation préalable de l'article 36 avec ses huit semaines, et le réexamen quand le risque change. Avec la page gratuite qui décide si une analyse est due et la rédige.","2026-09-12",{"who":10,"when":11,"do":12},"Toute entreprise de logiciels comme responsable d'un traitement qu'elle conçoit : une fonction de notation, de classement ou de filtrage, une analyse comportementale, un suivi, une fonction d'IA, des catégories particulières de données à grande échelle ou la surveillance d'une zone publique ; le sous-traitant aide à l'analyse mais ne la doit pas (article 28, paragraphe 3, point f).","Avant le début du traitement (article 35, paragraphe 1), réexaminée quand le risque change (article 35, paragraphe 11) ; lorsqu'un risque résiduel élevé subsiste, l'autorité de contrôle est consultée d'abord et répond dans un délai de huit semaines, prolongeable de six (article 36).","Répondez aux trois questions de l'article 35, paragraphe 3, sur la page gratuite, puis à la question de l'article 35, paragraphe 1, lorsqu'aucune ne s'applique ; si une analyse est due, rédigez-y ses quatre éléments, élément par élément, et gardez-la sur le registre des traitements auquel elle appartient.","\nL'analyse d'impact relative à la protection des données est le document RGPD qu'une entreprise de logiciels rédige en dernier et devrait rédiger en premier : elle est due avant le début du traitement, elle est l'endroit où la fonctionnalité la plus risquée du produit est décrite dans les termes propres du règlement, et elle est ce que l'autorité de contrôle lit lorsqu'une plainte nomme cette fonctionnalité. Cet article lit l'article 35 point par point pour une entreprise qui construit des logiciels et vous remet la [page qui décide si une analyse est due et la rédige](\u002Fgdpr\u002Fimpact-assessment).\n\n## Quand une analyse est due : l'article 35, paragraphe 1, et les trois cas nommés\n\nL'article 35, paragraphe 1, exige une analyse lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de sa nature, de sa portée, de son contexte et de ses finalités, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. L'article 35, paragraphe 3, nomme ensuite trois cas où elle est requise en tout état de cause : (a) une évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, sur laquelle se fondent des décisions produisant des effets juridiques ou d'importance similaire ; (b) le traitement à grande échelle des catégories particulières de l'article 9, paragraphe 1, ou de données pénales au titre de l'article 10 ; (c) la surveillance systématique à grande échelle d'une zone accessible au public.\n\nPour une entreprise de logiciels, le premier cas est celui qui attrape les fonctionnalités d'un produit : un classement de candidats, un score de crédit ou de fraude, une vérification d'éligibilité automatisée, une décision sur un contenu ou un compte prise par un modèle. C'est une évaluation systématique et approfondie, que quelqu'un l'appelle profilage ou non, et elle déclenche l'analyse. Le deuxième cas attrape les données de santé, biométriques et similaires à grande échelle, le troisième l'analyse vidéo et par capteurs de l'espace public.\n\n## Les neuf critères derrière « susceptible d'engendrer un risque élevé »\n\nHors des trois cas, « susceptible d'engendrer un risque élevé » se lit avec les lignes directrices que le groupe de travail Article 29 a adoptées et que le Comité européen de la protection des données a fait siennes, qui donnent neuf critères : évaluation ou notation ; prise de décision automatisée avec effet juridique ou similaire ; surveillance systématique ; données sensibles ou données à caractère hautement personnel ; données traitées à grande échelle ; croisement ou combinaison d'ensembles de données ; données concernant des personnes vulnérables ; usage innovant ou application de nouvelles solutions technologiques ou organisationnelles ; et traitement qui empêche les personnes concernées d'exercer un droit ou de bénéficier d'un service ou d'un contrat. La règle pratique des lignes directrices est qu'un traitement répondant à deux des critères nécessitera dans la plupart des cas une analyse, et qu'un seul critère peut suffire.\n\nL'article 35, paragraphe 4, exige de chaque autorité de contrôle qu'elle publie une liste des types de traitement soumis à l'analyse, et l'article 35, paragraphe 5, lui permet de publier une liste des types qui ne le sont pas ; les listes diffèrent selon l'État membre, et celle de votre autorité chef de file est celle à lire. Une analyse produit qui combine des données d'usage et des données de compte, une fonction d'IA appliquée au contenu des clients et tout suivi des utilisateurs entre services cochent plusieurs des neuf critères, et une entreprise qui livre ces fonctionnalités est en général dans l'analyse avant même d'atteindre les cas nommés.\n\n## Les quatre éléments : l'article 35, paragraphe 7\n\nL'analyse contient au moins : (a) une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable ; (b) une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ; (c) une évaluation des risques pour les droits et libertés des personnes concernées ; (d) les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées.\n\nDeux autres paragraphes façonnent le document. L'article 35, paragraphe 2, exige du responsable qu'il demande conseil au délégué à la protection des données lorsqu'un délégué a été désigné, et l'article 35, paragraphe 9, exige qu'il demande, le cas échéant, l'avis des personnes concernées ou de leurs représentants au sujet du traitement prévu. L'article 35, paragraphe 8, permet de prendre en compte le respect de codes de conduite approuvés dans l'analyse. L'élément (d) est l'endroit où l'analyse rencontre le programme de sécurité : les mesures sont les mesures ISO 27001 et les mesures de protection de la vie privée ISO 27701 que l'entreprise applique déjà, nommées par risque plutôt qu'en général, et la [page qui rédige l'analyse](\u002Fgdpr\u002Fimpact-assessment) étiquette chaque élément du point de l'article 35, paragraphe 7, auquel il répond.\n\n## Consultation préalable : l'article 36\n\nLorsque l'analyse indique que le traitement présenterait un risque élevé si le responsable ne prenait pas de mesures pour atténuer le risque, l'article 36, paragraphe 1, exige que le responsable consulte l'autorité de contrôle avant le traitement. L'article 36, paragraphe 2, donne à l'autorité huit semaines pour fournir un avis écrit, prolongeables de six semaines en fonction de la complexité du traitement, et lui permet d'user de tout pouvoir prévu à l'article 58. L'article 36, paragraphe 3, énumère ce que la consultation fournit : les responsabilités respectives du responsable, des responsables conjoints et des sous-traitants, les finalités et les moyens, les mesures et garanties, les coordonnées du délégué, l'analyse elle-même, et toute autre information demandée par l'autorité. En pratique la consultation est rare, parce que l'élément (d) est rédigé pour ramener le risque résiduel à un niveau acceptable ; la page pose la question du risque résiduel en dernier et n'écrit le paragraphe sur l'article 36 que si la réponse est qu'un risque élevé subsiste.\n\n## Le réexamen, et l'amende\n\nL'article 35, paragraphe 11, exige du responsable qu'il procède, si nécessaire, à un réexamen de l'analyse, au moins quand il y a un changement du risque présenté par les opérations de traitement ; un nouveau modèle, une nouvelle source de données ou une nouvelle finalité est un tel changement. L'article 83, paragraphe 4, point a, fixe le plafond pour une violation des articles 35 et 36 à EUR 10 millions ou 2 % du chiffre d'affaires annuel mondial, et les décisions des autorités sur l'analyse tournent autour de deux constats : si une analyse existait avant le début du traitement, et si son élément (d) nommait des mesures qui ont ensuite été réellement appliquées.\n\n## La rédiger\n\nLa [page de l'analyse d'impact](\u002Fgdpr\u002Fimpact-assessment) pose les trois questions de l'article 35, paragraphe 3, dans les mots propres du règlement, puis la question de l'article 35, paragraphe 1, lorsqu'aucune ne s'applique, rédige la lecture avec la disposition derrière elle, et prend les quatre éléments en saisie, étiquetés du point lui-même ; la question du risque résiduel décide si le paragraphe sur l'article 36 est ajouté. Le résultat est l'analyse sous forme de document à copier ou télécharger, une par activité de traitement, gardée à côté du [registre des traitements](\u002Fgdpr\u002Frecord-of-processing) qui décrit l'activité ; la [détermination des obligations](\u002Fgdpr\u002Fduties) transmet ses trois réponses pour que les questions ne soient posées qu'une fois.\n",1789383971689]