Mener une analyse d'impact (AIPD)

Un traitement susceptible d'engendrer un risque élevé pour les personnes exige une analyse d'impact relative à la protection des données (article 35 du RGPD). Dans MyZapp, elle se tient sous Protection des données › Analyses d'impact, rattachée aux activités du registre des traitements qu'elle couvre.

Créer l'analyse

Choisissez l'entité juridique, donnez un intitulé, puis Nouvelle analyse. Sur sa fiche, cochez les activités du registre couvertes. Les trois événements redoutés de l'article 35 sont déjà posés : accès illégitime, modification non désirée, disparition des données.

Le questionnaire de besoin

La fiche liste les 9 critères des lignes directrices du Comité européen de la protection des données : évaluation ou notation, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, usage innovant, traitement qui empêche d'exercer un droit. L'analyse est exigée dès que 2 critères sont remplis.

Si l'autorité de votre pays a publié ses listes (types d'opérations pour lesquels l'analyse est exigée, ou dispensée) et qu'elles ont été importées, elles apparaissent sous Liste de l'autorité et l'emportent sur le décompte.

Une analyse non exigée, ou une décision différente du questionnaire, se justifie toujours. Le résultat est reporté sur les activités du registre.

Le contenu de l'analyse

Description du traitement : nature, portée, contexte, finalités, données, flux.
Nécessité et proportionnalité : base légale, minimisation, durées, information et droits des personnes.
Risques : pour chaque événement redouté, notez la gravité et la vraisemblance de 1 (négligeable) à 4 (maximale), avant puis après les mesures. Un risque est élevé quand les deux notes atteignent 3. Le risque résiduel de l'analyse est le plus élevé après les mesures.

Enregistrez : tant que l'analyse est en rédaction, tout reste modifiable.

Les mesures et le plan d'action

Ajoutez les mesures existantes et les mesures prévues. Une mesure prévue a une échéance et, si possible, un responsable (l'adresse de son compte) : il reçoit un rappel 7 jours avant l'échéance et la marque Faite.

Avis, validation, consultation de l'autorité

Soumettre au délégué : le questionnaire, les activités, la description, la nécessité et les risques doivent être remplis.
Le délégué rend son avis, favorable ou non.
Le responsable valide l'analyse. Il faut auparavant avoir recueilli l'avis des personnes concernées ou de leurs représentants, ou noter pourquoi il ne l'a pas été.
Si le risque résiduel reste élevé, la validation est refusée : Consulter l'autorité d'abord (article 36). Le délai de réponse (8 semaines, prolongeable de 6) est suivi et rappelé. À la réponse, le traitement peut être validé avec les conditions de l'autorité, ou abandonné.

Versions, revue et PDF

Chaque étape crée une version. Pour modifier une analyse déjà soumise ou validée, rouvrez-la : l'avis et la validation tombent et restent visibles dans les versions. Une analyse validée se revoit périodiquement ; le délégué reçoit un rappel à l'échéance. Le bouton PDF produit le document complet de l'analyse.

L'intelligence artificielle n'est pas nécessaire : toute l'analyse se mène à la main.