— Article 35 du RGPD —
Avant de mettre en œuvre certains traitements, vous devez réaliser une Analyse d'Impact relative à la Protection des Données. En santé, cette obligation se déclenche plus souvent qu'on ne le croit — et son absence expose à des sanctions directes.
L'obligation légale
L'article 35 du RGPD impose au responsable de traitement de réaliser une Analyse d'Impact relative à la Protection des Données (AIPD) avant de mettre en œuvre tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. C'est une obligation préalable — l'AIPD doit être réalisée avant le lancement du traitement, pas après.
Définition
L'AIPD est un processus qui consiste à décrire le traitement envisagé, à évaluer sa nécessité et sa proportionnalité, puis à identifier et traiter les risques qu'il fait peser sur les droits des personnes. Elle se conclut par une validation — ou un refus de mise en œuvre.
Santé & AIPD
Les données de santé sont des données de catégories particulières (Art. 9 RGPD). Dès qu'un traitement les concerne, un critère sur neuf est automatiquement satisfait. La plupart des traitements en santé en cumulent au moins deux — ce qui déclenche l'obligation.
Conséquences
L'absence d'AIPD lorsqu'elle est requise constitue une violation directe du RGPD, sanctionnable sans mise en demeure préalable. La CNIL peut constater l'omission lors d'un contrôle sur pièces ou sur place.
Critères déclencheurs
La CNIL a publié une liste de neuf critères permettant d'évaluer si un traitement est susceptible d'engendrer un risque élevé. Si votre traitement satisfait au moins deux de ces critères, une AIPD est obligatoire. Pour les structures de santé, le critère n°4 (données sensibles) est presque toujours présent — un seul critère supplémentaire suffit.
Dès que deux critères sur neuf sont réunis, l'AIPD est obligatoire avant toute mise en œuvre du traitement. En santé, le critère n°4 (données sensibles au sens de l'Art. 9 RGPD) étant systématiquement présent, un seul critère supplémentaire suffit à déclencher l'obligation.
Le traitement effectue une notation, un profilage ou une évaluation de personnes — y compris une prédiction de performances, de préférences, de comportements ou de situation.
Le traitement implique une prise de décision automatisée produisant des effets significatifs sur la personne — sans intervention humaine déterminante.
Le traitement surveille, observe ou contrôle de façon systématique des personnes — y compris dans des espaces publics ou accessibles au public.
Le traitement porte sur des données de catégories particulières au sens de l'Art. 9 RGPD, ou sur des données à caractère hautement personnel comme les données financières ou judiciaires.
Le traitement concerne un nombre important de personnes, un volume considérable de données, ou une zone géographique étendue. La CNIL ne fixe pas de seuil chiffré — c'est une appréciation contextuelle.
Le traitement croise ou combine des données issues de plusieurs sources ou collectées à des fins différentes, au-delà de ce que la personne concernée pourrait raisonnablement anticiper.
Le traitement concerne des personnes dont la situation implique un déséquilibre de pouvoir avec le responsable de traitement — notamment les mineurs, les patients, les personnes âgées ou handicapées.
Le traitement utilise une technologie nouvelle ou fait un usage innovant d'une technologie existante, dont les implications pour la protection des données ne sont pas encore pleinement connues.
Le traitement implique un transfert de données personnelles vers un pays situé hors de l'Espace économique européen, sans décision d'adéquation couvrant intégralement ce transfert.
La CNIL publie également une liste des types de traitements pour lesquels une AIPD est systématiquement requise (liste noire) et une liste pour lesquels elle n'est pas requise (liste blanche). Pour les structures de santé, la quasi-totalité des traitements impliquant des données patients figure dans la liste noire ou satisfait deux critères.
Outil officiel
La CNIL met à disposition une infographie synthétique permettant de déterminer rapidement si un traitement envisagé requiert une AIPD. Elle présente les 9 critères sous forme visuelle et intègre la règle du seuil à deux critères.
Cette infographie publiée par la CNIL synthétise les neuf critères qui déclenchent l'obligation de réaliser une AIPD, avec la règle du seuil à deux critères. Elle constitue un outil de premier niveau pour qualifier vos traitements.
Elle est téléchargeable directement depuis le site officiel de la CNIL, en accès libre et gratuit.
La démarche
Une fois l'obligation établie, la CNIL définit une méthode structurée en quatre étapes pour mener l'AIPD. Chaque étape produit une documentation qui doit être conservée et présentée à la CNIL sur demande.
Contexte, finalités, données collectées, destinataires, durées de conservation, mesures de sécurité existantes. Cette étape s'appuie sur le registre des activités de traitement — qui doit donc déjà exister.
Le traitement est-il fondé sur une base légale appropriée ? Les données collectées sont-elles strictement nécessaires ? Les droits des personnes sont-ils garantis (information, accès, rectification, effacement) ?
Pour chaque risque identifié (accès illégitime, modification non désirée, disparition), évaluer sa vraisemblance et sa gravité. Cette évaluation prend en compte les mesures de sécurité existantes et les mesures complémentaires à mettre en place.
Si les risques résiduels sont acceptables, le traitement peut être mis en œuvre. Sinon, des mesures supplémentaires doivent être définies. En dernier recours, la CNIL doit être consultée préalablement (Art. 36 RGPD).
Pour une AIPD véritablement défendable
Réaliser une AIPD n'est pas remplir un formulaire. C'est une analyse juridique et technique qui mobilise des compétences croisées — droit du RGPD, droit de la santé, sécurité des systèmes d'information. En l'absence d'expertise, l'AIPD est formellement présente mais juridiquement indefendable.
Une AIPD produite en interne, sans maîtrise des exigences CNIL, peut donner l'illusion de conformité tout en laissant des failles majeures. Voici pourquoi un accompagnement extérieur est déterminant.
— Passez à l'action —
RGPD Santé accompagne les structures de santé dans la qualification des traitements soumis à AIPD et dans la conduite complète de la démarche — de la description du traitement à la validation du plan de réduction des risques.
