Privacy Impact Assessment
Le  (PIA)  est une méthode conçue et validée par le groupe de travail Article 29 sur la protection des données (G29), le groupe des autorités de contrôle sur les données personnelles européennes ( la CNIL, en France), pour réaliser des analyses d'impact requises par le Règlement général sur la protection des données concernant la protection des données personnelles, appliqué depuis le  dans toute l'Union européenne. 

Cette méthode est fortement inspirée du standard ISO29134 définissant les études d'impacts sur les informations personnelles identifiables (IPI ou PII en anglais).

Les PIA et le RGPD 

Le Règlement général sur la protection des données (RGPD) précise les cas où une PIA est nécessaire et son contenu, ainsi que l'obligation de contrôle de cohérence de la PIA par rapport aux pratiques. Le PIA doit être mené avant la mise en œuvre du traitement, c'est-à-dire avant tout nouveau traitement. Il s’agit d’une nouveauté du RGPD.

Cependant, concernant les anciens traitements à risques, en France la CNIL recommande de procéder à cette analyse de façon rétroactive.

Obligation de procéder à une PIA 
L'analyse d'impact relative à la protection des données est requise dans les cas suivants :
 est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ;
 consiste en l'évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon similaire ;
 s'opère à grande échelle sur les catégories particulières de données visées à l'article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10 ;
 la surveillance systématique à grande échelle d'une zone accessible au public.

La délibération -327 de la CNIL liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise.

Contenu d'une PIA 
L'analyse contient au moins :
 une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement ;
 une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ;
 une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1 ;
 les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées.

Contrôle 
Le RGPD précise la nécessité de contrôle de conformité de la PIA au regard des réalités du traitement.

Rôle du Délégué à la protection des données 

Le Délégué à la protection des données joue un rôle essentiel dans la réalisation d'une analyse d'impact. 

Au titre de l'article 38.1 du RGPD, , il conseille au responsable de traitement de réaliser (ou faire réaliser) une analyse d'impact.

Il peut également juger de la pertinence des mesures de réduction des risques comme du niveau des risques résiduels. Au titre de l'article 39.1.b du RGPD, , il veille à la revue régulière de l'analyse d'impact.

Logiciels reconnus pour leur implémentation de la méthode PIA 

 PIA, logiciel libre développé par le Laboratoire d'Innovation Numérique de la CNIL.
 PiaLab, logiciel libre développé par la société PiaLab.

Notes et références

Voir aussi

Articles connexes 
 Règlement général sur la protection des données
 Contrôleur européen de la protection des données
 Délégué à la protection des données

Liens externes 
 Délibération n° 2018-326 du 11 octobre 2018 portant adoption de lignes directrices sur les analyses d'impact relatives à la protection des données (AIPD) prévues par le règlement général sur la protection des données (RGPD)
 Enregistrement de la webex AFCDP-CNIL Comment mener une analyse d'impact 
 Enregistrement de la webex AFCDP-CNIL Comment intégrer une analyse d'impact dans l'outil PIA de la CNIL ?

Données personnelles
Droit de l'informatique
Le ( PIA ) est une méthode conçue et validée par le groupe de travail Articlesur la protection de les données ( G29 ) , le groupe de les autorités de contrôle sur les données personnelles européennes ( la CNIL , en France ) , pour réaliser de les analyses d' impact requises par le Règlement général sur la protection de les données concernant la protection de les données personnelles , appliqué depuis le dans toute l' Union européenne . Cette méthode est fortement inspirée de le standard ISO29134 définissant les études d' impacts sur les informations personnelles identifiables ( IPI ou PII en anglais ) . Les PIA et le RGPD Le Règlement général sur la protection de les données ( RGPD ) précise les cas où une PIA est nécessaire et son contenu , ainsi que l' obligation de contrôle de cohérence de la PIA par rapport à les pratiques . Le PIA doit être mené avant la mise en œuvre de le traitement , c'est-à-dire avant tout nouveau traitement . Il s’ agit d’ une nouveauté de le RGPD . Cependant , concernant les anciens traitements à risques , en France la CNIL recommande de procéder à cette analyse de façon rétroactive . Obligation de procéder à une PIA L' analyse d' impact relative à la protection de les données est requise dans les cas suivants \ : est susceptible d' engendrer un risque élevé pour les droits et libertés de les personnes physiques ; consiste en l' évaluation systématique et approfondie d' aspects personnels concernant de les personnes physiques , qui est fondée sur un traitement automatisé , y compris le profilage , et sur la base de laquelle sont prises de les décisions produisant de les effets juridiques à l' égard d' une personne physique ou l' affectant de manière significative de façon similaire ; s' opère à grande échelle sur les catégories particulières de données visées à l' article paragraphe ou sur de les données à caractère personnel relatives à de les condamnations pénales et à de les infractions visées à l' article ; la surveillance systématique à grande échelle d' une zone accessible à le public . La délibérationde la CNIL liste de les types d' opérations de traitement pour lesquelles une analyse d' impact relative à la protection de les données est requise . Contenu d' une PIA L' analyse contient à le moins \ : une description systématique de les opérations de traitement envisagées et de les finalités de le traitement , y compris , le cas échéant , l' intérêt légitime poursuivi par le responsable de le traitement ; une évaluation de la nécessité et de la proportionnalité de les opérations de traitement à le regard de les finalités ; une évaluation de les risques pour les droits et libertés de les personnes concernées conformément à le paragraphe ; les mesures envisagées pour faire face à les risques , y compris les garanties , mesures et mécanismes de sécurité visant à assurer la protection de les données à caractère personnel et à apporter la preuve de le respect de le présent règlement , compte tenu de les droits et de les intérêts légitimes de les personnes concernées et de les autres personnes affectées . Contrôle Le RGPD précise la nécessité de contrôle de conformité de la PIA à le regard de les réalités de le traitement . Rôle de le Délégué à la protection de les données Le Délégué à la protection de les données joue un rôle essentiel dans la réalisation d' une analyse d' impact . À le titre de l' article1 de le RGPD , , il conseille à le responsable de traitement de réaliser ( ou faire réaliser ) une analyse d' impact . Il peut également juger de la pertinence de les mesures de réduction de les risques comme de le niveau de les risques résiduels . À le titre de l' article1.b de le RGPD , , il veille à la revue régulière de l' analyse d' impact . Logiciels reconnus pour leur implémentation de la méthode PIA PIA , logiciel libre développé par le Laboratoire d' Innovation Numérique de la CNIL . PiaLab , logiciel libre développé par la société PiaLab . Notes et références Voir aussi Articles connexes Règlement général sur la protection de les données Contrôleur européen de la protection de les données Délégué à la protection de les données Liens externes Délibération n° duoctobreportant adoption de lignes directrices sur les analyses d' impact relatives à la protection de les données ( AIPD ) prévues par le règlement général sur la protection de les données ( RGPD ) Enregistrement de la webex AFCDP-CNIL Comment mener une analyse d' impact Enregistrement de la webex AFCDP-CNIL Comment intégrer une analyse d' impact dans l' outil PIA de la CNIL ? Données personnelles Droit de l' informatique