Protection des données personnelles (RGPD) : avant de traiter certaines données, une analyse d'impact est à faire

Qu'est-ce qu'une analyse d'impact ?

Réalisé par l'entreprise avant la création du fichier de données, ce document indique les risques prévisibles du traitement envisagé pour les droits et libertés des personnes physiques (atteinte au droit à la vie privée, vol, destruction, altération ou accès non autorisé aux données traitées...) et les mesures prises pour les réduire.

Que doit contenir une analyse d'impact ?

Cette analyse doit contenir :

• une description des opérations de traitement envisagées et des objectifs poursuivis (lutte contre la fraude, protection des biens, des personnes et des locaux, prospection commerciale...) ;
• une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des objectifs poursuivis ;
• une évaluation des risques pour les droits et libertés des personnes concernées ;
• les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité mis en place.

Dans quels cas faut-il faire une analyse d'impact ?

Il existe neuf critères permettant de déterminer si oui ou non une analyse d'impact doit être réalisée ¹.