DPIA et évaluation des impacts sur la vie privée

Une analyse d'impact sur la protection des données (DPIA) est un processus structuré requis par l'article 35 du RGPD pour les activités de traitement qui présentent des risques élevés pour les données personnelles des individus. Une DPIA capture la nature, la portée, le contexte et les finalités du traitement ; évalue la nécessité, la proportionnalité et les mesures de conformité ; identifie et évalue les risques pour les droits et libertés des personnes concernées ; et précise les mesures pour faire face à ces risques (contrôles de sécurité, pseudonymisation, minimisation des données, limites de conservation). Les actifs de support comprennent des cartes de flux de données (comment les données personnelles circulent à travers les systèmes et au-delà des frontières), des évaluations d'intérêt légitime et des registres de processeurs tiers.

Les DPIA sont légalement requises en vertu de l’article 35 du RGPD pour les traitements susceptibles d’entraîner un risque élevé pour les individus – y compris le profilage systématique, le traitement à grande échelle de catégories spéciales de données et la surveillance systématique des zones accessibles au public. Le fait de ne pas mener une AIPD requise peut entraîner des sanctions réglementaires et démontre un manque de responsabilité – un principe clé du RGPD. Au-delà de la conformité légale, les DPIA démontrent aux régulateurs et aux personnes concernées que l’organisation a systématiquement pris en compte et traité les risques liés à la vie privée. Ils sont également de plus en plus exigés par les lois non européennes sur la protection de la vie privée (LGPD brésilienne, RGPD britannique, CPRA de Californie) et par les assureurs comme preuve de la gestion des risques liés à la vie privée.

Les rapports DPIA complets couvrent l'évaluation complète : description du traitement, évaluation de la nécessité et de la proportionnalité, identification des risques, dossiers de consultation (avec le délégué à la protection des données et, le cas échéant, l'autorité de contrôle) et mesures d'atténuation. Les cartes de flux de données et les inventaires montrent comment les données personnelles circulent à travers les systèmes, au-delà des frontières et entre les processeurs, prenant en charge les enregistrements des activités de traitement (ROPA) et la préparation aux notifications de violation. Les évaluations d'intérêt légitime (LIA) sont des évaluations en trois parties requises pour le traitement reposant sur l'intérêt légitime comme base légale en vertu de l'article 6, paragraphe 1, point f) du RGPD. Les registres des processeurs tiers suivent tous les sous-traitants et sous-traitants de données, y compris le statut de l'accord de traitement des données (DPA), les mécanismes de transfert et l'emplacement – ​​requis pour la responsabilité continue du RGPD.

Les actifs DPIan, les cartes de flux de données et les registres de processeurs sont téléchargés sur Sustalium et liés aux cadres de conformité de confidentialité pertinents. Les preuves de confidentialité sont liées aux enregistrements de conformité au RGPD, aux procédures relatives aux droits des personnes concernées et aux protocoles de notification des violations. Sustalium suit les calendriers de révision des DPIA (les DPIA doivent être révisées lorsque les opérations de traitement changent de manière significative) et signale les DPIA arrivant à expiration pour une réévaluation. Les registres des sous-traitants sont liés aux dossiers de passation des marchés afin que les nouveaux engagements de sous-traitants déclenchent automatiquement les exigences d'examen DPIA. Pour les organisations opérant dans plusieurs juridictions, Sustalium mappe les exigences de conformité en matière de confidentialité aux mises en œuvre nationales applicables du RGPD et d'autres lois sur la confidentialité.

Le RGPD est le cadre principal : l'article 35 exige des DPIA, l'article 30 exige des enregistrements des activités de traitement, l'article 32 exige des mesures de sécurité enregistrées et l'article 33 exige des procédures de notification des violations enregistrées. La loi de l’UE sur l’IA exige des évaluations d’impact de type DPIA pour les systèmes d’IA à haut risque. DORA exige des évaluations des risques liés aux TIC qui chevauchent la cartographie du traitement des données DPIA. La directive ePrivacy exige des évaluations de la confidentialité pour le traitement des communications électroniques. Les lois non européennes sur la protection de la vie privée, notamment le RGPD britannique, la LGPD brésilienne, la CPRA de Californie et la PIPL chinoise, comportent toutes des exigences DPIA ou équivalentes. La norme ISO 27701 (gestion des informations confidentielles) exige des processus enregistrés d’évaluation des impacts sur la vie privée.