Blog

Les organisations manipulent aujourd’hui des volumes croissants de données personnelles. Or certains traitements, par leur nature ou leur ampleur, peuvent porter atteinte aux droits et libertés des personnes concernées. L’analyse d’impact relative à la protection des données (AIPD) permet de repérer ces risques avant qu’ils ne se réalisent.

Plus qu’une formalité administrative, elle est un réflexe de prévention : elle protège les personnes et sécurise celui qui traite leurs données.

LA NOTION ET LES FONDEMENTS JURIDIQUES DE L’AIPD

L’AIPD est une évaluation menée avant la mise en œuvre d’un traitement. Elle consiste à décrire ce traitement, à vérifier qu’il est nécessaire et proportionné à son objectif, puis à mesurer les risques qu’il fait peser sur les personnes afin de prévoir les mesures qui les réduisent. Elle traduit deux principes devenus centraux : la responsabilité du responsable du traitement, qui doit être en mesure de démontrer sa conformité, et la protection des données dès la conception.

Au Bénin, l’AIPD relève du régime de protection des données posé par le Code du numérique (loi n° 2017-20 du 20 avril 2018, telle que modifiée), article 428, dont l’Autorité de protection des données à caractère personnel (APDP) contrôle l’application. L’article 35 du Règlement général sur la protection des données (RGPD) européen reste la référence la plus détaillée, et la Convention 108+ du Conseil de l’Europe comme la Convention de Malabo de l’Union africaine participe de la même logique de prévention.

LES TRAITEMENTS CONCERNÉS PAR L’OBLIGATION DE RÉALISER UNE AIPD

L’AIPD n’est pas exigée pour tous les traitements, mais seulement pour ceux susceptibles d’engendrer un risque élevé pour les personnes. Les autorités de contrôle retiennent généralement les critères suivants :

• l’évaluation ou la notation de personnes, notamment par profilage (scoring de crédit, par exemple) ;
• la prise de décisions automatisées produisant des effets juridiques ou significatifs ;
• la surveillance systématique de personnes (vidéosurveillance, géolocalisation, contrôle des salariés) ;
• le traitement à grande échelle de données sensibles : santé, biométrie, données génétiques, opinions ;
• le traitement de données de personnes vulnérables, comme les enfants, les patients ou les salariés ;
• le croisement de plusieurs jeux de données ou le recours à une technologie innovante, telle que l’intelligence artificielle.

Un repère pratique : lorsqu’un traitement réunit au moins deux de ces critères, une AIPD s’impose en principe. Le déploiement d’un pointage biométrique dans une entreprise, d’un dossier patient informatisé dans un établissement de santé ou d’un outil de scoring dans une institution financière en sont des exemples courants. Il convient aussi de consulter les listes éventuellement publiées par l’APDP. En cas de doute, mieux vaut réaliser l’analyse et conserver la trace du raisonnement.

LES PRINCIPALES ETAPES DE RÉALISATION D’UNE AIPD

La démarche suit une logique simple, qui s’applique à toute taille d’organisation.

1. Décrire le traitement : Finalités, données collectées, personnes concernées, destinataires, durée de conservation et circuits de circulation des données doivent être précisés.
2. Apprécier la nécessité et la proportionnalité : Il s’agit de vérifier la base légale, de limiter les données au strict nécessaire, de garantir l’information des personnes et l’exercice de leurs droits.
3. Identifier et évaluer les risques : Accès non autorisé, modification ou disparition des données : chaque risque est estimé selon sa gravité et sa vraisemblance, du point de vue des personnes concernées et non de celui de l’organisation.
4. Définir les mesures de réduction :  Chiffrement, pseudonymisation, gestion stricte des habilitations, clauses contractuelles avec les sous-traitants, procédures internes : les mesures doivent répondre à chaque risque identifié.
5. Valider, documenter et réviser : Le responsable du traitement arrête un plan d’action et accepte formellement les risques résiduels. Si l’un d’eux reste élevé, l’autorité de contrôle doit être consultée avant tout lancement. L’analyse est ensuite revue à chaque évolution significative du traitement.

LES ACTEURS ET LES ENJEUX DE L’AIPD DANS LA GOUVERNANCE DES DONNÉES PERSONNELLES

L’AIPD est un travail collectif. Le responsable du traitement en porte la responsabilité et décide in fine. Le délégué à la protection des données (DPO) conseille, vérifie la qualité de l’analyse et suit la mise en œuvre des mesures, sans s’y substituer afin de préserver son indépendance. Les équipes métiers décrivent la réalité du traitement, la direction informatique et le responsable de la sécurité évaluent les risques techniques, et les sous-traitants fournissent les informations nécessaires. Selon les cas, l’avis des personnes concernées peut également être recueilli. L’APDP, enfin, contrôle et peut être consultée en cas de risque résiduel élevé.

Les enjeux dépassent la seule conformité. Sur le plan juridique, une AIPD solide réduit l’exposition aux sanctions et constitue une preuve de diligence en cas de contrôle ou d’incident. Sur le plan stratégique, elle renforce la confiance des clients, des usagers et des partenaires. Sur le plan opérationnel, corriger un projet en amont coûte bien moins cher que de le reprendre après un incident. Elle contribue enfin à installer une culture de la protection des données dans l’organisation.

L’AIPD n’est pas un obstacle à l’innovation : elle permet de la conduire de façon responsable. Intégrée tôt dans les projets, elle devient un véritable outil de gouvernance, au service de la conformité comme de la confiance.

Charlaine DEGBEY,

Juriste spécialisée en droit du numérique.