Privacy Impact Assessment

Un article de Wikipédia, l'encyclopédie libre.
Sauter à la navigation Sauter à la recherche

Le Privacy Impact Assessment (PIA) — en français, « évaluations de l’impact sur la vie privée », ou également AIPD (pour « analyses d'impact relatives à la protection des données ») — est une méthode conçue et validée par le groupe de travail Article 29 sur la protection des données (G29)[1], le groupe des autorités de contrôle sur les données personnelles européennes (ex: en France c'est la CNIL), pour réaliser des analyses d'impact requises par le Règlement général sur la protection des données sur la protection des données personnelles appliqué depuis le 25 mai 2018 dans toute l'Union européenne. Cette méthode est fortement inspirée du standard ISO29134[2] définissant les études d'impacts sur les informations personnelles identifiables[3] (IPI ou PII en anglais).

Les PIA et le RGPD[modifier | modifier le code]

Le RGPD précise les cas où une PIA est nécessaire et son contenu, ainsi que l'obligation de contrôle de cohérence de la PIA par rapport aux pratiques.

Obligation de procéder à une PIA[modifier | modifier le code]

Dès lors qu'un traitement concerne des données à caractère personnel[4] :

  • est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques
  • consiste en l'évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon similaire;
  • s'opère à grande échelle sur les catégories particulières de données visées à l'article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10;
  • la surveillance systématique à grande échelle d'une zone accessible au public.


La délibération n° 2018-327 de la CNIL du 11 octobre 2018 liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise.

Contenu d'une PIA[modifier | modifier le code]

L'analyse contient au moins[5]:

  • une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement;
  • une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités;
  • une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1;
  • les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées.

Contrôle[modifier | modifier le code]

Le RGPD précise la nécessité de contrôle de conformité de la PIA au regard des réalités du traitement[6].


Le rôle du Délégué à la protection des données[modifier | modifier le code]

Le Délégué à la protection des données joue un rôle essentiel dans la réalisation d'une analyse d'impact.

Au titre de l'article 38.1 du RGPD ("Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel"), il conseille au responsable de traitement de réaliser (ou faire réaliser) une analyse d'impact.

Il peut également juger de la pertinence des mesures de réduction des risques comme du niveau des risques résiduels. Au titre de l'article 39.1.b du RGPD ("Le Délégué à la protection des données contrôle le respect du présent règlement"), il veille à la revue régulière de l'analyse d'impact.

Logiciels reconnus pour leur implémentation de la méthode PIA[modifier | modifier le code]

  • PIA[7], logiciel libre développé par le Laboratoire d'Innovation Numérique de la CNIL
  • PiaLab[8], logiciel libre développé par la société PiaLab[9]

Références[modifier | modifier le code]

  1. « PIA, la méthode », sur cnil.fr, (consulté le 29 juin 2018)
  2. (en) « ISO29134 "Guidelines for privacy impact assessment" », sur iso.org, (consulté le 29 juin 2018)
  3. (en) « ISO29134 », sur iso.org, (consulté le 29 juin 2018)
  4. Article 35 du RGPD alinéas 1 et 3
  5. Article 35 du RGPD, alinéa 7
  6. Article 35 du RGPD, alinéa 11: "Si nécessaire, le responsable du traitement procède à un examen afin d'évaluer si le traitement est effectué conformément à l'analyse d'impact relative à la protection des données, au moins quand il se produit une modification du risque présenté par les opérations de traitement."
  7. « Outil PIA : téléchargez et installez le logiciel de la CNIL », sur cnil.fr, (consulté le 29 juin 2018)
  8. (en) « Code source de PiaLab », sur github.com (consulté le 29 juin 2018)
  9. « PiaLab, logiciel pour la conformité au RGPD », sur pialab.io (consulté le 29 juin 2018)

Liens externes[modifier | modifier le code]