Hors collection - Droit des données à caractère personnel - 1re - 239

CHAPITRE 4 - LE

PRINCIPE DE

« RESPONSABILITÉ »

239

du traitement traite à grande échelle des catégories particulières de données comme des données
génétiques, biométriques ou concernant la santé. À suivre la lettre de l'article 36, § 1 du RGPD, le
fait d'adopter des mesures pour atténuer les risques ne fait pas échapper le responsable du traitement à la consultation préalable. Pour autant, le considérant 94 du RGPD indique qu'« il y a lieu
de consulter l'autorité de contrôle avant le début des opérations de traitement » si « le responsable
du traitement est d'avis que le risque ne peut être atténué par des moyens raisonnables compte
tenu des techniques disponibles et des coûts de mise en œuvre ». L'exigence d'une consultation
préalable dépendrait donc de l'existence d'un risque résiduel élevé en dépit des mesures visant à
faire face aux risques. Le Comité européen de la protection des données adopte la même
approche261. Elle est plus restrictive que celle qui résulte de l'article 36 du RGPD aux termes
duquel, l'existence d'un risque élevé suffit à déclencher la procédure de consultation préalable
peu important les mesures prises pour l'atténuer. Elle peut être justifiée par l'idée que si le traitement présente des risques élevés qui sont atténués, la consultation de l'autorité de contrôle a une
portée limitée. Inversement, si des risques résiduels subsistent, l'autorité de contrôle sera en
mesure de conseiller le responsable du traitement, sachant que la mise en œuvre d'un traitement
de données présentant des risques élevés résiduels n'est pas interdite. Rappelons que le risque créé
par le traitement doit être limité par l'application des principes applicables à tous les traitements
de données comme la limitation des finalités, la minimisation des données, la limitation de la
durée de conservation, la sécurité et la confidentialité des données. En toute hypothèse, le responsable du traitement devra, au vu des conclusions de son analyse d'impact, documenter son choix
de procéder ou non à une consultation préalable. Naturellement, la CNIL pourra par la suite
exercer son pouvoir de contrôle pour s'assurer de la conformité du traitement qu'il y ait eu ou
non consultation préalable.
502. Déroulement. Lorsqu'il consulte la CNIL, le responsable du traitement doit communiquer262 :
- les responsabilités respectives du responsable du traitement, des responsables conjoints et des
sous-traitants participant au traitement, en particulier pour le traitement au sein d'un groupe
d'entreprises ;
- les finalités et les moyens du traitement envisagé ;
- les mesures et les garanties prévues afin de protéger les droits et libertés des personnes concernées
en vertu du présent règlement ;
- les coordonnées du délégué à la protection des données ;
- l'analyse d'impact relative à la protection des données ;
- et toute autre information que l'autorité de contrôle demande.
Le déroulement de la procédure est le suivant263 :
- le responsable du traitement saisit la CNIL de la demande de consultation préalable ;
- l'autorité de contrôle dispose d'un délai de 8 semaines pour émettre un avis écrit pour le cas où le
traitement méconnaîtrait les dispositions qui lui sont applicables, spécialement si le risque n'a pas
été suffisamment identifié ou atténué (6 semaines en matière de police-justice). Une prolongation
du délai de 6 semaines peut intervenir en raison de la complexité du traitement envisagé (1 mois
en matière de police-justice). Cette prolongation est motivée et notifiée au responsable du
261. G29, lignes directrices concernant l'analyse d'impact relative à la protection des données (AIPD), préc., p. 22.
262. RGPD, art. 36, § 3.
263. RGPD, art. 36, § 1 et 2 ; L., 6 janv. 1978, art. 34 ; dir. (UE) 2016/680, art. 28, § 5 ; L., 6 janv. 1978, art. 90, al. 3 qui
renvoie à l'article 34 ; D., 29 mai 2019, art. 130, V.

Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re