Retour aux articles

RGPD : l'obligation d'analyse d'impact s'applique-t-elle aux traitements déjà en cours au 25 mai 2018 ?

Affaires - Immatériel
07/03/2018
Dans le cadre d'un communiqué plus large sur le règlement européen relatif aux données à caractère personnel dit « RGPD », précisant comment la CNIL accompagne les acteurs dans le cadre de la mise en place de cette nouvelle réglementation, l'autorité a notamment précisé, le 19 février 2018, comment s'appliquera l'analyse d'impact aux traitements déjà en cours au 25 mai 2018, date d'entrée en vigueur du règlement.
Ainsi, dans un souci de simplicité et d'accompagnement, la CNIL n'exigera pas la réalisation immédiate d'une analyse d'impact pour les traitements qui ont régulièrement fait l'objet d'une formalité préalable auprès de la CNIL avant le 25 mai 2018 (récépissé, autorisation, avis de la CNIL), ou qui ont été consignés au registre d'un correspondant informatique et libertés. De tels traitements ne seront donc pas soumis immédiatement à l'obligation d'analyse d'impact.
 
Cependant, le RGPD imposant une réévaluation dynamique des risques, une telle analyse d'impact, pour les traitements en cours et qui sont susceptibles de présenter un risque élevé, devra en principe être réalisée dans un délai raisonnable qui peut être estimé à trois ans à compter du 25 mai 2018.
 
En revanche, l'analyse d'impact devra être réalisée, sans attendre l'issue de ce délai de trois ans, dans tous les autres cas où un traitement est susceptible de présenter un risque élevé :

- pour les traitements antérieurs au 25 mai 2018 n'ayant pas fait l'objet de formalités préalables auprès de la CNIL ;
- pour les traitements, antérieurs au 25 mai 2018 et régulièrement mis en oeuvre, mais qui ont fait l'objet d'une modification substantielle depuis l'accomplissement de leur formalité préalable ;
- pour tout nouveau traitement après le 25 mai 2018.

La réalisation d'une étude d'impact constitue, dans tous les cas, une bonne pratique facilitant la démarche de mise en conformité au "RGPD".
 
Par Vincent Téchené
Source : Actualités du droit