100 points à savoir sur…
Gestion de projet inclusive

Qu'est-ce qu'une évaluation des incidences sur la vie privée ?

L'évaluation des incidences sur la vie privée ("Privacy Impact Assessment" en anglais) consiste à analyser la manière dont une entité recueille, utilise, partage et conserve les informations personnelles identifiables, en fonction des risques existants.

Les objectifs d'une évaluation des incidences sur la vie privée

Cette évaluation devrait atteindre trois objectifs :
1 Assurer la conformité avec les exigences légales, réglementaires et politiques applicables en matière de confidentialité.
2 Déterminer les risques et les effets.
3 Evaluer les protections et les processus alternatifs pour atténuer les risques potentiels pour la vie privée.

Quand une évaluation est-elle obligatoire ?

Le Règlement général sur la protection des données (RGPD) précise les cas où une évaluation est nécessaire et son contenu, ainsi que l'obligation de vérifier la cohérence de l'évaluation, comme, par exemple :

• dans le cas d'une pratique susceptible d'entraîner un risque élevé pour les droits et libertés des personnes physiques ;
• une action qui consiste en une évaluation systématique et approfondie des aspects personnels relatifs aux personnes physiques, fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions qui produisent des effets juridiques sur une personne physique ou qui l'affectent de manière significative de façon similaire ;
• ou la surveillance systématique à grande échelle d'une zone accessible au public.

Points clés d'une évaluation

L'évaluation des incidences sur la vie privée comprend au moins les points suivants
1 une description des opérations de traitement et des finalités du traitement, y compris l'intérêt légitime poursuivi par le responsable du traitement
2 une évaluation de la nécessité et de la proportionnalité du traitement par rapport aux finalités.
3 une évaluation des risques pour les droits et libertés des personnes concernées ;
4 les mesures envisagées pour faire face aux risques, y compris les garanties, les mesures de sécurité et les mécanismes destinés à assurer la protection des données à caractère personnel et à démontrer la conformité au présent règlement, en tenant compte des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées.

Pour aller plus loin

De nombreux guides et documents exemples sont disponibles sur le site internet de la CNIL. N'hésitez pas à les consulter !