Questions fréquentes
Que dit exactement l'article 35 du RGPD ?
L'article 35 impose une analyse d'impact relative à la protection des données (AIPD) avant tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, notamment en cas de recours à de nouvelles technologies. Il fixe le contenu minimal de l'analyse et impose la consultation du DPO lorsqu'il existe.
Quel est le contenu minimal obligatoire d'une AIPD selon l'article 35.7 ?
L'article 35.7 exige quatre éléments : une description systématique du traitement et de ses finalités, une évaluation de la nécessité et de la proportionnalité, une évaluation des risques pour les droits et libertés des personnes, et les mesures envisagées pour faire face à ces risques.
Le DPO doit-il signer l'AIPD ?
Non. L'article 35.2 impose seulement de demander conseil au DPO lorsqu'il a été désigné ; son avis doit être formalisé par écrit et conservé avec l'AIPD, mais la responsabilité juridique et la décision finale restent celles du responsable de traitement.
Quand faut-il consulter la CNIL au titre de l'article 36 ?
La consultation préalable de la CNIL (article 36 RGPD) n'est obligatoire que si l'AIPD conclut qu'en dépit des mesures envisagées, le risque résiduel pour les personnes reste élevé. La CNIL dispose alors de 8 semaines, prolongeables, pour rendre un avis motivé.
Quelles sanctions en cas d'absence d'AIPD ?
L'absence ou l'insuffisance d'AIPD relève du second palier de sanctions de l'article 83.4 du RGPD : amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.