Règlement (UE) 2016/679, article 35

L'analyse d'impact relative à la protection des données

L'analyse d'impact, ou AIPD, est due lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. L'article 35 du règlement (UE) 2016/679 la rend obligatoire avant la mise en œuvre du traitement, ce qui est la difficulté principale : conduite après, elle ne remplit plus sa fonction, qui est d'influer sur la conception.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Quand l'analyse est obligatoire

L'article 35.1 pose le critère général : un traitement susceptible d'engendrer un risque élevé pour les droits et libertés, compte tenu notamment du recours à de nouvelles technologies, de sa nature, de sa portée, de son contexte et de ses finalités.

Le paragraphe 3 énumère ensuite trois cas où l'analyse est requise en particulier : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, sur la base de laquelle sont prises des décisions produisant des effets juridiques ou affectant significativement la personne ; le traitement à grande échelle de données de l'article 9 ou de données relatives aux condamnations et infractions de l'article 10 ; et la surveillance systématique à grande échelle d'une zone accessible au public.

Le paragraphe 4 impose en outre à chaque autorité de contrôle d'établir et de publier une liste des types d'opérations pour lesquelles une analyse est requise ; le paragraphe 5 lui permet d'en publier une seconde, recensant ceux pour lesquels elle ne l'est pas. Ces listes sont le premier document à consulter, avant tout raisonnement au cas par cas.

Les quatre éléments que l'analyse doit contenir

Le paragraphe 7 de l'article 35 fixe un contenu minimal, et une analyse qui n'en couvre pas les quatre volets n'est pas une analyse au sens du texte.

La description systématique du traitement

Les opérations envisagées, les finalités poursuivies et, le cas échéant, l'intérêt légitime poursuivi par le responsable. Cette description est plus détaillée que la ligne correspondante du registre : elle descend au niveau des flux et des acteurs.

La nécessité et la proportionnalité

L'appréciation de la nécessité et de la proportionnalité des opérations au regard des finalités. C'est le volet le plus souvent expédié, alors qu'il est celui qui peut conduire à renoncer à une partie du traitement, ce qui est le résultat le plus utile qu'une analyse puisse produire.

Les risques pour les personnes

L'évaluation des risques pour les droits et libertés des personnes concernées. Le risque s'apprécie du point de vue de la personne — discrimination, perte de contrôle, atteinte à la réputation, impossibilité d'exercer un droit — et non du point de vue de l'organisation.

Les mesures envisagées

Les mesures destinées à faire face aux risques, y compris les garanties et mécanismes de sécurité visant à assurer la protection des données et à apporter la preuve du respect du règlement, compte tenu des droits et intérêts légitimes des personnes concernées.

Le rôle du délégué et celui des personnes concernées

L'article 35.2 impose au responsable de demander conseil au délégué à la protection des données lorsqu'il en a désigné un. L'article 39.1 c) inscrit symétriquement cette mission parmi celles du délégué : dispenser des conseils sur l'analyse d'impact et en vérifier l'exécution. L'avis du délégué et la manière dont il a été suivi — ou les raisons pour lesquelles il ne l'a pas été — font partie de l'analyse.

Le paragraphe 9 prévoit que le responsable demande l'avis des personnes concernées ou de leurs représentants au sujet du traitement prévu, le cas échéant, sans préjudice de la protection des intérêts commerciaux ou publics ou de la sécurité des opérations. Dans un contexte d'emploi, ce point rejoint la consultation des instances représentatives du personnel, exigée par ailleurs par le droit du travail avant la mise en place d'un dispositif de contrôle.

Quand l'autorité de contrôle doit être consultée avant la mise en œuvre

L'article 36.1 impose au responsable de consulter l'autorité de contrôle préalablement au traitement lorsque l'analyse d'impact indique que le traitement présenterait un risque élevé si le responsable ne prenait pas de mesures pour l'atténuer. La consultation préalable n'est donc pas la suite normale d'une analyse : elle intervient lorsque le risque résiduel, après mesures, demeure élevé.

Le paragraphe 2 précise que si l'autorité estime que le traitement envisagé constituerait une violation du règlement, elle fournit un avis écrit dans un délai de huit semaines à compter de la réception de la demande, prorogeable de six semaines compte tenu de la complexité, et que ce délai peut être suspendu tant qu'elle attend les informations demandées. Ces délais se planifient en amont d'un projet, faute de quoi la consultation devient le chemin critique de sa mise en service.

Le paragraphe 11 de l'article 35 impose enfin un réexamen lorsque le risque change : une analyse conduite une fois pour toutes sur un traitement qui évolue ne couvre plus le traitement tel qu'il est réellement mis en œuvre.

Questions fréquentes

Quand une AIPD est-elle obligatoire ?

Lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés, au sens de l'article 35.1 du règlement (UE) 2016/679, et en particulier dans les trois cas du paragraphe 3 : évaluation systématique fondée sur un traitement automatisé servant de base à des décisions significatives, traitement à grande échelle de données des articles 9 ou 10, surveillance systématique à grande échelle d'une zone accessible au public. Les listes publiées par l'autorité de contrôle au titre du paragraphe 4 précisent ces cas.

Peut-on conduire une analyse d'impact après la mise en service ?

L'article 35.1 impose de l'effectuer avant le traitement. Une analyse conduite après ne remplit plus sa fonction, qui est d'influer sur la conception et, le cas échéant, de conduire à renoncer à une partie du traitement. Elle reste utile pour documenter l'existant et corriger, mais elle ne régularise pas l'écart de calendrier, qui demeure constatable.

Une seule analyse peut-elle couvrir plusieurs traitements ?

Oui. L'article 35.1 prévoit expressément qu'une seule analyse peut porter sur un ensemble d'opérations similaires présentant des risques élevés similaires. C'est le cas, par exemple, d'un dispositif déployé de la même façon sur plusieurs sites. Des traitements dont les risques diffèrent ne peuvent pas être regroupés au motif qu'ils reposent sur le même outil.

Faut-il publier l'analyse d'impact ?

Le règlement ne l'impose pas. La publication, même partielle, est parfois recommandée comme mesure de transparence, en particulier pour un traitement mis en œuvre par un organisme public. Ce qui est en revanche obligatoire est de pouvoir la produire à l'autorité de contrôle, qui la demande systématiquement lorsqu'un traitement relevant de l'article 35.3 est examiné.

Ce que ce régime déclenche ailleurs

Un système d'IA à haut risque peut appeler simultanément une analyse d'impact au titre de l'article 35 et une évaluation propre au règlement (UE) 2024/1689 : les deux se conduisent dans un dossier unique.

L'articulation avec l'analyse exigée par l'AI Act

C'est en lisant le registre que l'on repère les traitements relevant de l'article 35.3 : sans registre à jour, l'obligation d'analyse se découvre à l'occasion d'un contrôle.

Tenir le registre des traitements

Distinguer le responsable du sous-traitant, les huit clauses obligatoires du paragraphe 3, le régime des sous-traitants ultérieurs et le droit d'audit.

Sous-traitance

Ce qui constitue un transfert, les mécanismes du chapitre V, l'analyse d'impact du transfert, les dérogations de l'article 49 et le cas des accès distants.

Transferts hors UE

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.