Comment réaliser une évaluation d'impact sur la protection des données (DPIA)

Réaliser une évaluation d’impact sur la protection des données (DPIA) est une tâche complexe mais essentielle pour garantir la sécurité de vos données face aux failles et vulnérabilités. De plus, les DPIA sont exigées par de nombreuses réglementations. En particulier, la réalisation régulière d’évaluations d’impact sur la protection des données constitue une exigence clé du Règlement général sur la protection des données (RGPD), une loi complète sur la confidentialité des données qui s’applique à toutes les organisations stockant ou traitant les données des résidents de l’Union européenne (UE). Les DPIA sont également requises par le RGPD du Royaume-Uni.

Poursuivez votre lecture pour comprendre ce que signifie DPIA, les exigences clés de la GDPR, les cas nécessitant des DPIA, et comment réaliser des évaluations d'impact sur la protection des données.

Qu'est-ce qu'une évaluation d'impact sur la protection des données ?

Les évaluations d'impact sur la protection des données, parfois appelées évaluations d'impact sur la vie privée (PIAs), sont effectuées pour identifier, analyser et minimiser les risques liés à la protection des données d'un projet ou d'un plan impliquant des informations personnelles identifiables (PII) ou, comme le GDPR l'appelle, des « données personnelles ».

Les risques pour les informations personnelles peuvent inclure tout, depuis l'accès non autorisé par des acteurs internes ou externes jusqu'à la non-conformité du traitement des données personnelles avec les souhaits du sujet des données. Une analyse d'impact relative à la protection des données (AIPD) devrait toujours aboutir à une liste de mesures que l'organisation prendra pour répondre aux risques identifiés.

Quels sont les avantages d'une AIPD ?

Les avantages de la réalisation des AIPD vont bien au-delà de la conformité au RGPD. Ils comprennent :

• Réduisez la probabilité de violations de données pour les systèmes, cookies, applications et sites Web
• Réduction du risque de non-conformité aux obligations légales
• Moins de risque de dépenses élevées pour la récupération après une violation de données, les amendes, les poursuites judiciaires et la perte d'activité
• Conformité simplifiée avec d'autres réglementations sur la protection des données

Quand mon organisation devrait-elle réaliser une AIPD ?

Le RGPD n'exige pas des organisations qu'elles réalisent une AIPD pour chaque opération de traitement liée à la vie privée. Plutôt, elles doivent mener une AIPD chaque fois que leur traitement de données est susceptible d'entraîner un risque élevé pour les droits et libertés des individus (le terme utilisé par le RGPD est « personnes physiques »).

Le fait de ne pas réaliser une analyse d'impact relative à la protection des données (AIPD) lorsque les directives officielles l'exigent peut entraîner des actions d'exécution légales, y compris de lourdes amendes de la part du Conseil européen de la protection des données.

Quand est-ce qu'une analyse d'impact relative à la protection des données (AIPD) est requise ?

Utilisez les critères suivants de The Guidelines on Data Protection Impact Assessment pour déterminer si une EIPD est obligatoire :

• Évaluation ou notation — Vous devez réaliser des AIPD lors du profilage des personnes, notamment de leur performance au travail, situation économique, santé, préférences ou intérêts personnels, comportement, localisation ou déplacements. Le RGPD exige également des AIPD pour les déterminations de scores de crédit, les tests génétiques pour évaluer les risques pour la santé et le profilage marketing basé sur le comportement.
• Prise de décision automatisée — Les AIPD sont nécessaires lors de la mise en œuvre de processus qui automatisent la prise de décision juridique. Vous devez vous assurer que ce traitement n'exclut ni ne discrimine un individu.
• Surveillance systématique — Vous devez réaliser des AIPD lorsque vous observez, surveillez ou contrôlez des personnes concernées, y compris lorsqu'elles se trouvent dans des espaces publics. Des exemples incluent la surveillance de sécurité à distance comme les applications de caméras de sonnette.
• Gestion des données sensibles — Les AIPD sont nécessaires chaque fois que vous traitez des données personnelles très sensibles, telles que les données de santé d'un patient.
• Traitement de données à grande échelle — Les AIPD sont requises lorsque vous effectuez un traitement de données à grande échelle. Les critères pour déterminer si le traitement de données se fait à grande échelle incluent le nombre de sujets de données et la durée ainsi que l'étendue géographique de l'activité.
• Appariement ou combinaison de jeux de données — Vous devez réaliser une AIPD lorsque vous fusionnez ou comparez deux ensembles de données ou plus collectés dans des buts différents.
• Sujets de données vulnérables — Les AIPD sont nécessaires lorsqu'il existe un déséquilibre de pouvoir entre les sujets de données et le contrôleur de données, car cela pourrait entraîner un préjudice pour le sujet de données. Les AIPD sont requises pour les sujets de données qui ne peuvent pas s'opposer au traitement de leurs données, tels que les enfants, les employés et les personnes souffrant de maladies mentales ou de problèmes cognitifs.
• Utilisation innovante — Les DPIAS sont nécessaires pour les technologies plus récentes, telles que les appareils IoT, les scanners d'empreintes digitales et les systèmes de reconnaissance faciale.
• Transfert de données en dehors de l'UE ou du Royaume-Uni — Vous devez effectuer des AIPD lors du transfert de données en dehors de l'UE ou du Royaume-Uni. Cela aide à garantir que des mesures de protection appropriées sont en place.
• Gestion des données des candidats — Lorsque vous effectuez des processus empêchant les personnes concernées d'exercer un droit ou d'utiliser des services ou des contrats, vous devez réaliser une AIPD. Un exemple est lorsqu'une banque effectue des vérifications de crédit pour les demandes de prêt.

Quand une AIPD n'est-elle pas requise ?

Vous n'êtes pas obligé de réaliser une AIPD dans les circonstances suivantes :

• Vous respectez les obligations légales — Si vous traitez des données sur la base d'une obligation légale ou pour le compte du public, vous n'avez pas à réaliser une AIPD. Toutefois, cette exception s'applique uniquement lorsque le traitement des données répond à au moins l'une des circonstances suivantes :
  • Vous avez une base légale pour traiter les données.
  • Une disposition légale ou un code statutaire régit l'opération de traitement.
  • Vous n'êtes pas soumis aux obligations d'analyse d'impact relative à la protection des données telles que définies dans la législation applicable.
  • Une évaluation des risques de protection des données a été réalisée dans le cadre de l'évaluation d'impact lors de l'adoption du RGPD en mai 2018.
• Vous avez déjà réalisé une analyse d'impact relative à la protection des données (AIPD) similaire — Si vous avez complété une AIPD et pouvez prouver que la nature, le design, la portée, le contexte et l'objectif de la situation actuelle sont tous similaires, vous pourriez être exempté de réaliser une nouvelle AIPD.

Quand faut-il réaliser une AIPD ?

Vous devriez intégrer les DPIA dans les nouveaux projets impliquant des données personnelles dès le début et les utiliser tout au long de la planification et du développement. Par exemple, si vous souhaitez créer une application IoT, prenez en compte les obligations DPIA dès les premières étapes du processus de planification et jusqu'à l'achèvement.

Que dire des processus qui étaient en place avant que le RGPD n'entre en vigueur ?

L'exigence d'analyse d'impact relative à la protection des données (AIPD) s'applique aux processus qui ont commencé le 25 mai 2018 ou après cette date, ainsi qu'aux processus qui ont commencé avant cette date et qui ont changé d'une manière qui affecte les exigences de conformité.

Bien que vous puissiez techniquement être exempté de réaliser des DPIA, la plupart des experts en conformité recommandent de mener des DPIA pour les opérations de traitement des risques qui étaient déjà en cours avant l'entrée en vigueur du RGPD.

Quels éléments doivent être inclus dans une AIPD ?

Débloquer tous les avantages des AIPD et garantir votre conformité au RGPD nécessite une approche globale. Les listes de contrôle suivantes peuvent vous aider à ne pas omettre des informations ou un contexte critiques.

Liste de contrôle de sensibilisation au DPIA

Une liste de vérification de la sensibilisation vous aidera à comprendre les processus actuels d'Analyse d'Impact sur la Protection des Données (DPIA) de votre entreprise et à établir une culture dans laquelle tous les employés sont vigilants quant aux besoins de DPIA, réduisant ainsi la probabilité d'erreurs humaines. Les listes de vérification de la sensibilisation comprennent :

• Formation des employés — Formez les employés sur la manière dont les AIPD protègent les données personnelles et quand elles sont nécessaires.
• Gestion des procédures et des politiques — Examinez l'adéquation des politiques de votre entreprise avec les exigences de l'AIPD.
• Implementation guidelines — Document what circumstances require a DPIA.

Listes de contrôle pour le dépistage d'analyse d'impact relative à la protection des données

Une liste de contrôle de filtrage fournit une analyse plus approfondie qui détaille les critères pour lesquels une AIPD est nécessaire pour des projets spécifiques. Les listes de contrôle de filtrage comprennent :

• Comprendre les données en question — Créez des documents qui posent des questions sur la quantité de données impliquées, la vulnérabilité des sujets des données et la nature personnelle et privée des données. Fournissez également des directives pour distinguer les données à haut risque des données à faible risque.
• Détails sur le traitement des données — Précisez la durée du traitement des données, les lieux de stockage et de supervision, qui a accès, quelles mesures de sécurité sont mises en place, et comment notifier les sujets des données du traitement. Documentez également comment vous prévoyez de consulter les professionnels de la confidentialité et les régulateurs.
• Déclaration claire expliquant pourquoi une AIPD a été jugée nécessaire ou non — Si vous décidez de donner le feu vert à une AIPD, vous devriez avoir une déclaration écrite et explicite de l'objectif. Si vous décidez de ne pas réaliser d'AIPD pour un projet, incluez toujours une documentation expliquant pourquoi une AIPD a été écartée.

Liste de contrôle du traitement DPIA

La liste de contrôle du traitement guide les processeurs sur leur conduite exacte une fois que l'analyse d'impact relative à la protection des données (DPIA) commence, ce qui soutient votre capacité à respecter les exigences du GDPR du début à la fin. Ne pas utiliser une liste de contrôle de processus augmente considérablement les chances d'erreur humaine et d'autres problèmes pendant l'étape de traitement. Une liste de contrôle du traitement comprend :

• Identification des risques — Définissez comment vous prévoyez de consulter les processeurs pour comprendre les risques avant que le traitement ne commence. Assurez-vous que l'étendue du traitement correspond à l'objectif global. Une fois les risques évalués, incluez des mesures écrites sur la façon dont vous prévoyez de les mesurer et de les atténuer.
• Liste des parties prenantes — Identifiez tous les principaux intervenants et vos plans pour communiquer avec eux et les tenir informés à différentes étapes.
• Comptes rendus de prise de décision — Incluez une documentation détaillée sur les personnes que vous consultez avant et pendant le traitement, ainsi que toutes les personnes ayant accès aux données. De plus, documentez toutes les méthodes de traitement, toute technologie utilisée et tout changement de méthodologie.
• Examinez les processus — Lorsque vous réalisez une AIPD, établissez un calendrier pour réviser constamment l'état de votre projet et les modifications. N'oubliez pas, tout changement dans la nature, le contexte, la portée ou la conception de l'évaluation peut vous obliger à recommencer le processus depuis le début.

Quelles étapes dois-je suivre pour réaliser une AIPD ?

Voici les étapes à suivre dans le processus d'évaluation d'impact relative à la protection des données (DPIA) pour se conformer au Règlement Général sur la Protection des Données.

1. Identifier la nécessité d'une AIPD.

Utilisez les informations ci-dessus pour déterminer si une AIPD est nécessaire. Assurez-vous de documenter les aspects suivants du traitement :

• Nature — Ce que vous prévoyez de faire avec les données
• Périmètre — Quelles données seront traitées
• Contexte — Facteurs internes et externes susceptibles d'affecter les attentes ou d'avoir un impact
• Objectif — Pourquoi votre organisation souhaite traiter les données

2. Décrivez les opérations de traitement et leur finalité.

Documentez comment les données seront traitées tout au long du projet et la portée des données. Répondez aux questions suivantes :

• Comment les données sont-elles collectées et utilisées ?
• Où et comment les données sont-elles stockées ?
• D'où proviennent les données collectées ?
• Les données sont-elles stockées chez des tiers ?
• Y a-t-il des catégories de données à haut risque impliquées ?
• Quelle quantité de données est collectée et combien de sujets de données sont concernés ?
• Où se déroulent les activités de traitement des données ?
• Quelles sont les exigences de rétention des données ?

Ensuite, décrivez le but des activités de traitement des données tel qu'il se rapporte aux objectifs du projet. Décrivez chaque activité de traitement des données, son impact sur le consommateur et comment elle sera exploitée pour le projet.

3. Évaluez la nécessité et la proportionnalité.

Un aspect important d'une AIPD consiste à justifier les activités de traitement des données qui ont lieu en expliquant ce qui est réellement nécessaire pour les objectifs et les résultats du projet. Commencez par répondre à ces questions :

• Existe-t-il une base légale pour la collecte de ces données ?
• Des mesures de consentement appropriées sont-elles en place ?
• Les sujets de données vulnérables sont-ils impliqués ?
• Des projets antérieurs de nature similaire ont-ils effectué un traitement similaire ? Si oui, des failles de sécurité ont-elles été identifiées et corrigées ?
• Le traitement des données est-il nécessaire pour atteindre les objectifs du projet ?
• Comment les droits des consommateurs sont-ils respectés ?
• Existe-t-il des moyens de minimiser l'utilisation des données des consommateurs ?

4. Consultez les parties intéressées.

Vous devriez consulter plusieurs parties clés tout au long du processus de l'analyse d'impact relative à la protection des données (DPIA). Cela inclut :

• Délégué à la Protection des Données (DPO) — Le DPO de l'organisation est chargé de surveiller la conformité avec le GDPR et d'autres lois sur la protection des données, de former le personnel impliqué dans le traitement des données et de servir de point de contact pour les personnes concernées. Consulter un DPO peut vous aider à démontrer la conformité, augmenter la responsabilité et obtenir des retours sur les risques des projets.
• Parties prenantes du projet — Impliquer toutes les parties prenantes vous aidera à comprendre pleinement l'étendue et la nécessité des activités de traitement des données, ainsi qu'à élaborer des stratégies appropriées pour répondre aux risques.
• Les sujets de données et leurs représentants — Les sujets de données et leurs représentants peuvent vous faire part de leurs commentaires sur la manière dont leurs données sont traitées et garantir la légalité de vos activités de traitement.
• Experts externes — Pour l'expertise en confidentialité des données, envisagez de faire appel à des experts externes tels que des professionnels de la sécurité de l'information, des avocats, des techniciens, des analystes de sécurité et des sociologues.

5. Identifier et évaluer les risques pour les données personnelles.

Créez une liste prioritaire de vos actifs et identifiez les vulnérabilités potentielles. Par exemple, si l'un de vos actifs est un serveur où vous stockez les données des clients, les risques pour ces données pourraient inclure des catastrophes naturelles, des défaillances matérielles et des attaques malveillantes.

Dans votre analyse des risques, prenez en compte :

• Des données dont la perte ou l'exposition affecterait les opérations
• Processus commerciaux clés qui utilisent ces actifs de données
• Que les données soient anonymisées
• Que les politiques de rétention des données soient applicables
• Que les données soient stockées dans des emplacements non sécurisés ou qu'elles puissent éventuellement être déplacées vers de tels emplacements
• Que le champ du traitement des données change au cours du projet
• S'il est appliqué des contrôles d'accès appropriés
• Menaces susceptibles de compromettre la capacité de l'organisation à fonctionner, ainsi que la gravité et la probabilité de chaque menace

6. Identifier les mesures pour répondre aux risques.

Une fois que vous avez une bonne idée des risques potentiels impliqués dans le projet, formulez et mettez en œuvre stratégiquement des mesures d'atténuation des risques appropriées. Solutions de sécurité des données peuvent vous aider à garantir que :

• Les mesures de sécurité nécessaires sont en place pour empêcher l'accès non autorisé aux données personnelles par des acteurs internes ou externes.
• Des politiques de conservation des données sont en place pour supprimer les données qui ne sont plus nécessaires.
• Les technologies de découverte et de surveillance offrent une visibilité sur l'emplacement des données personnelles, qui y accède, comment elles sont utilisées et comment elles circulent au sein de l'organisation.
• Les actions de remédiation (telles que la suppression de données inutiles et la gestion des accès) peuvent être automatisées et réalisées à grande échelle.

Vous devez documenter quels risques pour la protection des informations une mesure d'atténuation spécifique aidera à traiter et comment. Voici deux exemples :

Exemple 1

Risque : L'organisation conserve les données personnelles plus longtemps que nécessaire.

Solution : Utilisez un outil automatisé de rétention des données pour garantir la suppression des données comme nécessaire.

Exemple 2

Risque : Des utilisateurs non autorisés pourraient accéder au serveur et accéder à des données réglementées.

Solution : Renforcez les tests de sécurité et la surveillance du serveur pour prévenir et détecter toute activité suspecte.

7. Obtenez l'approbation.

Une fois que tous les risques sont identifiés et qu'une stratégie de sécurité appropriée est conçue, obtenez l'approbation pour la mise en œuvre de la part des parties concernées. La liste dépendra de l'organisation et du projet spécifique mais inclut souvent le Délégué à la Protection des Données et les membres de l'équipe de direction.

8. Mettez en œuvre des mesures pour répondre aux risques.

Ensuite, déployez les solutions et autres mesures que vous avez identifiées pour réduire les risques.

9. Produisez un rapport final d'analyse d'impact sur la protection des données (DPIA).

En dernier lieu, vous devez produire un rapport final d'analyse d'impact sur la protection des données (DPIA). Il doit contenir les informations suivantes :

• Une description détaillée du projet et de son objectif
• Une évaluation des besoins et de la portée du traitement des données
• Une évaluation des risques de protection des données et de la vie privée des consommateurs
• Une explication de la manière dont l'organisation va atténuer les risques et se conformer aux exigences du GDPR

Il est recommandé de publier les AIPD en totalité ou en partie, même si le RGPD ne l'exige pas. Cela contribue à renforcer la confiance dans vos opérations de traitement et démontre la responsabilité et la transparence envers toutes les parties prenantes.

Comment Netwrix peut-il aider avec les évaluations d'impact sur la protection des données ?

Réaliser une AIPD peut être chronophage, en particulier pour les organisations disposant d'un personnel informatique limité. Heureusement, Netwrix est là pour aider. Nous proposons des compliance audit solutions qui renforcent la sécurité, satisfont les auditeurs et sécurisent les organisations de toutes tailles. Avec nos services, vous pouvez :

• Identifiez les données réglementées et restreignez l'accès à celles-ci — Déterminez quel contenu réglementé votre organisation possède et assurez-vous qu'il soit stocké uniquement dans des emplacements sécurisés.
• Contrôlez l'accès à vos données — Appliquez rigoureusement le principe du moindre privilège avec des flux de travail automatisés de demande et d'approbation d'accès, des révisions et attestations régulières par les propriétaires des données, une gestion efficace des Group Policy, des configurations système sécurisées et des politiques de politiques de mots de passe robustes. De plus, détectez les menaces à leurs stades initiaux et réagissez rapidement pour les neutraliser.
• Réduisez le temps de préparation de l'audit de semaines ou de jours à quelques minutes — Produisez rapidement des preuves concrètes de conformité réglementaire avec des rapports prédéfinis sur les configurations de systèmes, l'accès aux données, les comptes utilisateurs et plus encore.

FAQ

1. Les DPIA sont-ils obligatoires ?

L'article 35 du RGPD exige une AIPD chaque fois que vous effectuez des processus susceptibles d'accroître le risque pour les droits ou libertés individuels. L'exigence de l'AIPD s'applique aux processus qui ont commencé le ou après le 25 mai 2018, et aux processus qui ont commencé avant cette date et qui ont changé d'une manière qui affecte les exigences de conformité.

2. Y a-t-il des exceptions ?

Une AIPD pourrait ne pas être nécessaire si vous traitez des données sur la base d'une obligation légale ou pour le compte du public, ou si vous avez déjà réalisé une AIPD similaire.

3. Qui est responsable de la réalisation des DPIA ?

Une AIPD devrait impliquer votre Délégué à la Protection des Données si vous en avez un, ainsi que la personne en charge du projet ayant déclenché l'AIPD et tout processeur de données pertinent.

4. Quand faut-il réaliser les DPIAs ?

Les organisations devraient intégrer les AIPD dès le début de tout nouveau projet et les mener tout au long du processus de planification et de développement.

5. Que doit contenir une AIPD ?

Le Bureau du Commissaire à l’Information (ICO) décrit les éléments à inclure dans une évaluation DPIA. En particulier, veillez à documenter les facteurs suivants concernant le traitement des données :

• Nature — Ce que vous prévoyez de faire avec les données
• Portée — Ce que couvre le traitement
• Contexte — Les facteurs internes et externes pouvant influencer les attentes ou l’impact
• Objectif — Pourquoi l’organisation souhaite traiter les données