Hors collection - Guide pratique : Les avocats et le règlement général sur la protection des données (RGPD) - 1re - 16

3.2.4. Analyses d'impact
En vertu de l'article 35 du RGPD, lorsqu'un type de traitement est susceptible
d'engendrer un risque élevé pour les droits et libertés des personnes physiques,
notamment le traitement à grande échelle de catégories particulières de
données, le responsable du traitement doit effectuer, avant toute mise en œuvre,
une analyse d'impact.
Il est important de noter que le considérant 91 du RGPD précise que le traitement
de données à caractère personnel de clients par un avocat exerçant à titre
individuel ne devrait pas être considéré comme constituant un traitement à
grande échelle.
Néanmoins, quand bien même il ne traiterait pas des données à « grande
échelle », un cabinet d'avocats, quelle que soit sa taille, pourrait avoir à réaliser
des analyses d'impact si les traitements mis en œuvre répondent à certaines
caractéristiques.
En effet, dès lors qu'il répondra à plus de deux des neuf critères déterminés par
la CNIL et par le G29 (évaluation/scoring, décision automatique avec effet légal
ou similaire ; surveillance systématique ; collecte de données sensibles ; collecte
de données à caractère personnel à large échelle ; croisement de données ;
personnes vulnérables ; usage innovant ; exclusion du bénéﬁce d'un droit /
contrat), le traitement sera, par principe, soumis à analyse d'impact.
Bien qu'elles représentent une charge supplémentaire, les analyses d'impact
visent à permettre aux responsables de traitements d'identiﬁer et de traiter les
risques qui n'auraient pas été détectés en d'autres temps et d'empêcher des
violations qui se seraient autrement produites.
Pour expliquer l'article 35 et en proposer une interprétation commune, les autorités
de protection des données européennes (le G29) ont adopté des « lignes directrices »
sur les DPIA et les traitements susceptibles d'engendrer des risques :
https://www.cnil.fr/fr/reglement-europeen/lignes-directrices
Le 29 janvier 2018, la CNIL a mis en ligne sur son site la nouvelle version de
son logiciel open source PIA facilitant la conduite et la formalisation d'analyses
d'impact sur la protection des données telles prévues par le RGPD :
https://www.cnil.fr/fr/outil-pia-nouvelle-version-beta-du-logiciel.
La CNIL a également publié trois catalogues de bonnes pratiques destinées à
traiter les risques que les traitements de données à caractère personnel (DCP)
peuvent faire peser sur les libertés et la vie privée des personnes concernées :
https://www.cnil.fr/fr/PIA-privacy-impact-assessment

3.2.5. Portabilité des données
Déﬁnition. Le droit à la portabilité des données permet aux personnes concernées
d'exiger des responsables de traitement la transmission de leurs données à
caractère personnel à un autre responsable de traitement, sans que le responsable
de traitement ayant initialement collecté les données puisse s'y opposer.

14

https://www.cnil.fr/fr/reglement-europeen/lignes-directrices https://www.cnil.fr/fr/outil-pia-nouvelle-version-beta-du-logiciel https://www.cnil.fr/fr/PIA-privacy-impact-assessment

Table des matières de la publication Hors collection - Guide pratique : Les avocats et le règlement général sur la protection des données (RGPD) - 1re