Ce que dit la loi
La LPD exige une analyse d'impact lorsque le traitement envisagé est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, en particulier lors de l'utilisation de nouvelles technologies (art. 22, al. 1 et 2, LPD). Le risque élevé existe notamment dans deux cas : le traitement de données sensibles à grande échelle et la surveillance systématique de grandes parties du domaine public (art. 22, al. 2, LPD).
Le RGPD y ajoute l'évaluation systématique et approfondie d'aspects personnels, fondée sur un traitement automatisé et produisant des effets importants (art. 35 par. 3 RGPD) ; les autorités européennes utilisent des critères comme la vulnérabilité des personnes, la surveillance systématique et le croisement de données. L'outil compte ces signes : l'un des cas de la loi, ou deux critères, rendent l'analyse probable.
Ce que contient une analyse d'impact
- la description du traitement envisagé ;
- l'évaluation des risques pour les personnes concernées ;
- les mesures prévues pour les protéger.
Questions liées
Modèles utiles
Une orientation générale, pas un conseil sur votre cas : pour votre cas, c'est le texte de la loi qui compte, et l'évaluation vous appartient.