Ce que ça veut dire pour votre entreprise
L'AIPD (Analyse d'Impact relative à la Protection des Données, « PIA » en anglais) est une étude approfondie exigée quand un traitement présente un risque élevé pour les personnes : surveillance systématique, données sensibles à grande échelle, croisement de fichiers, personnes vulnérables…
Bonne nouvelle pour la plupart des TPE : vos traitements courants (fichier clients, paie, facturation) n'en exigent généralement pas. Certains cas concrets peuvent tout de même vous concerner : vidéosurveillance étendue, géolocalisation de véhicules, données de santé (instituts, professions paramédicales), profilage client poussé. L'important est de savoir si vous êtes concerné, et de pouvoir montrer que vous vous êtes posé la question.
Ce que dit la loi
L'article 35 du RGPD impose l'AIPD lorsque le traitement est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes ». La CNIL a précisé 9 critères (évaluation/notation, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, usage innovant, exclusion d'un droit ou d'un contrat) : dès que 2 critères sont réunis, l'AIPD est en principe requise.
Par où commencer
- Passez chaque traitement au crible des 9 critères CNIL. La plateforme le fait sous forme de cases à cocher, avec un indicateur en direct.
- Si ≥ 2 critères : réalisez l'analyse (description, nécessité, risques, mesures) avant de démarrer le traitement.
- Dans le doute, documentez votre raisonnement : c'est déjà une preuve de sérieux.