L'analyse d'impact (AIPD) pour évaluer les risques avant de lancer un projet sensible

Vous lancez un projet qui touche à des données sensibles ou à grande échelle (application mobile avec un grand nombre de personnes inscrites, vidéosurveillance, géolocalisation, profilage de clients, application de santé, …) et on vous a dit qu'il fallait réaliser une « AIPD » ou un « PIA » ?

L'AIPD (Analyse d'Impact relative à la Protection des Données) qui est aussi appelée PIA (Privacy Impact Assessment), évalue les risques de votre projet sur la protection des données à caractère personnel avant que vous ne vous lanciez.

TPE/PME, startup, association ou collectivité de Dijon ou de Bourgogne Franche-Comté, je vous accompagne pour la mener simplement.

« On nous a dit qu'il fallait faire une AIPD… mais c'est quoi ? »

Vous êtes une entreprise, une startup, une association. Vous avez un projet important et, pendant la phase d'étude ou lors de la rédaction du cahier des charges, on vous a parlé d'une analyse d'impact, à faire ou juste pour vérifier si c'est nécessaire de la faire.

Mais qu'est-ce qu'une analyse d'impact relative à la protection des données (AIPD ou PIA en anglais) ?

L'analyse d'impact, c'est l'évaluation d'un dispositif, d'un service, d'une application, d'un logiciel ou juste le traitement d'un flux de données mais potentiellement à risques. Et il est important d'analyser ces risques.
Cette évaluation va vous aider à mieux protéger les données concernées, à mieux protéger vos dispositifs.

 

☎️ Un premier appel de 30 minutes, sans engagement

En 30 minutes au téléphone, on évoque votre projet et on regarde si une analyse d'impact (AIPD) est nécessaire ?

Je réserve mon appel
AIPD,Analyse d'impact

« Les traitements de données doivent respecter le RGPD.
Tout traitement de données personnelles susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées doit faire l’objet d’une analyse d’impact (AIPD).
L’analyse d’impact est un outil important de responsabilisation et de conformité qui
permet de garantir le respect des principes du RGPD de façon opérationnelle et de pouvoir le démontrer. »

CNIL

Faire une analyse d'impact, c'est vous accompagner pour comprendre déjà ce qu'on vous demande.
Je vous guide et vous explique comment ça marche, ce qu'il faut remplir et je vous pousse à être le plus complet possible.
Cela va également vous permettre de vous poser des questions sur les données personnelles que vous collectez et la façon dont vous allez le faire. Cela va vous pousser à réfléchir sur la sécurisation de ces données et, souvent, monter le niveau de sécurité sur votre application ou votre service.
J'ai déjà accompagné plusieurs structures (entreprises et associations) sur leur AIPD.

AIPD - Analyse impact - Numaxion

Quand faire une analyse d'impact relative à la protection des données (AIPD)

La CNIL a mis en œuvre de nombreuses ressources pour savoir quand il faut faire une AIPD :

  1. Identifiez si votre traitement rentre dans la liste des 12 cas pour lesquels une AIPD n’est pas obligatoire : https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-non-requise.pdf
  2. Si vous n'êtes pas dans cette liste, identifiez si votre traitement rentre dans la liste des 14 cas pour lesquels une AIPD est obligatoire : https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-avec-aipd-requise-v2.pdf
  3. Si vous êtes dans la liste (2), vous devez faire une AIPD.
    Si votre traitement ne figure dans aucune des deux listes, vérifiez alors s'il remplit au moins 2 des 9 critères ci-dessous : si oui, une AIPD est nécessaire :
    1. Évaluation/scoring (y compris le profilage)
    2. Décision automatique avec effet légal ou similaire
    3. Surveillance systématique
    4. Données sensibles ou hautement personnelles (santé, géolocalisation, etc.)
    5. Collecte à large échelle
    6. Croisement de données
    7. Personnes vulnérables (patients, personnes âgées, enfants, etc.)
    8. Usage innovant (utilisation d’une nouvelle technologie)
    9. Exclusion du bénéfice d’un droit/contrat

Après étude de votre projet, vous n'êtes pas forcément obligé de faire une AIPD. Mais si le projet est important, il peut être utile de le faire à votre initiative.

Démarrer son AIPD

Vous pouvez faire votre analyse d'impact en utilisant le logiciel PIA proposé par la CNIL.

PIA démo Numaxion

Exemple de logiciel utilisé par Numaxion (PIA- https://madis.app)

Les questions que vous vous posez...

Combien de temps prend une AIPD ?

Travailler sur une analyse d'impact relative à la protection des données (AIPD) va vous prendre un peu de temps pour répondre à un certain nombre de questions.
Il convient de bien connaître son projet.

En moyenne, un accompagnement AIPD peut prendre 2 ou 3 jours.

Cela va dépendre de la complexité du projet et s'il y a beaucoup de documents à analyser (cahier des charges, architecture, champs de la base de données, ...).
A cela il faut ajouter votre temps de travail.

Mes données et mes informations sont-elles en sécurité avec vous ?

C'est une question importante qui doit être posée.
Sur l'entretien gratuit, je rentre peu dans le détail de vos données.
Par contre, nous allons travailler sur votre projet, vos données (même si je n'y accède pas directement) et vos processus internes. A ce titre, j'agis en tant que prestataire (et je suis donc un sous-traitant sur vos données du point de vue du RGPD).
Ma prestation contractualisée avec vous est encadrée par un contrat, signé par vous et moi. Dans ce contrat, je spécifie bien la façon dont je protège toutes les informations auxquelles j'ai accès et le respect de la confidentialité et du RGPD que j'applique auprès de mes clients.