Droit en Poche - RGPD : la protection des données à caractère personnel - 5e - 41

Dans l'hypothèse où le traitement est nécessaire au respect d'une
obligation légale ou à l'exécution d'une mission d'intérêt public, les
dispositions relatives aux analyses d'impact (mentionnées à l'article
35, 1 à 7) ne sont pas applicables. Cette exception est cependant
soumise à plusieurs conditions :
- le traitement doit avoir une base juridique dans le droit de
l'Union ou de l'État membre auquel le responsable du traitement
est soumis ;
- cette disposition doit « réglemente[r] l'opération de traitement
spécifique ou l'ensemble des opérations de traitement en question
» ;
- une analyse d'impact relative à la protection doit avoir été faite
dans le cadre de l'analyse d'impact générale réalisée dans le
cadre de l'adoption de cette disposition.
En outre, cette exception peut être levée si l'État membre estime
que le traitement en cause doit faire l'objet d'une analyse d'impact.
Le contenu de l'analyse d'impact
L'article 35, 7 précise qu'elle contient au moins :
- une description des « opérations de traitement envisagées et
des finalités du traitement, y compris, le cas échéant, l'intérêt
légitime poursuivi par le responsable du traitement » ;
- une « évaluation de la nécessité et de la proportionnalité des
opérations de traitement au regard des finalités » ;
- une « évaluation des risques pour les droits et libertés des personnes
» ;
- les mesures mises en place pour faire face à ces risques.
Comment faire une analyse d'impact ?
Il existe différentes méthodologies pour procéder à une analyse
d'impact comme la méthode EBIOS proposée par la CNIL. Elles
doivent toutes répondre à des exigences communes. L'analyse
d'impact commence par une description des opérations de traitements
envisagées, puis une évaluation de la nécessité et de la
proportionnalité de ces opérations. Les mesures envisagées pour
démontrer la conformité sont ensuite décrites. Une évaluation
des risques pour les droits et libertés des personnes concernées et
des mesures envisagées pour faire face à ces risques est effectuée.
Enfin, l'analyse doit être documentée et suivie dans le temps. Une
revue peut également être nécessaire en cas de nouveau risque ou
de modification du traitement. En outre, le CEPD recommande un
réexamen périodique de l'analyse.
Si un DPO a été désigné, le responsable du traitement lui « demande
conseil ». Les lignes directrices relatives à l'analyse d'impact
précisent que le responsable du traitement est tenu de prendre
conseil et que les conseils du DPO ainsi que les décisions prises par
le responsable du traitement doivent être documentées (y compris
dans l'hypothèse où il serait décidé de ne pas procéder à une analyse
d'impact).
RGPD : la protection des données à caractère personnel
Droit en Poche - RGPD : la protection des données à caractère personnel - 5e

Table des matières de la publication Droit en Poche - RGPD : la protection des données à caractère personnel - 5e
