Analyse d’impact relative à la protection des données dans l’Union européenne : une protection des personnes plus solide en complétant le nouveau cadre juridique

Le présent document émet des recommandations permettant à l’Union européenne (UE) de compléter l’obligation d’effectuer une analyse d’impact relative à la protection des données (AIPD), telle que définie dans le Règlement Général sur la Protection des Données (RGPD), dans le but d’arriver à une protection plus solide des données à caractère personnel. En avril 2016, l’UE a mis la dernière main à la partie essentielle de la réforme du cadre juridique visant la protection des données personnelles. L’Union prépare actuellement les mesures de mise en œuvre et les lignes directrices donnant pleinement effet aux nouvelles dispositions juridiques avant leur mise en application à partir de mai 2018. Parmi d’autres « nouveautés », cette réforme introduit l’obligation juridique de réaliser une AIPD. Or, cette obligation comporte quelques faiblesses. La présente note cherche à y remédier en apportant des informations supplémentaires à l’actuel processus d’élaboration de politiques, notamment en proposant de « meilleures pratiques » permettant d’arriver à un type d’analyse d’impact générique, qui pourrait être préconisé pour plusieurs domaines (section II). La section III présente une première évaluation de la manière dont ces meilleurs pratiques se rapportent à l’obligation spécifique de procéder à une analyse d’impact, c’est-à-dire, l’AIPD, déterminée par le RGPD. Ces deux sections sont précédées de quelques informations générales sur les analyses d’impact en tant que telles. La section I présente en ce sens une définition et un aperçu historique, ainsi que les avantages et inconvénients des analyses d’impact en général. Enfin, la section IV fournit des recommandations en vue de compléter l’obligation de procéder à une AIPD telle que requise par le RGPD. Ces recommandations proposent notamment : (1) d’élargir la portée de l’obligation de mener une AIPD dans le cadre du RGPD ; (2) de développer des méthodes pour réaliser une telle analyse ; (3) d’établir auprès des autorités de protection des données (APD) des « centres de références » entièrement axés sur la réalisation des AIPD. La présente note de politique s’adresse surtout aux décideurs politiques actifs au niveau de l’UE et des Etats Membres, nonobstant l’intérêt potentiel qu’il pourrait soulever auprès de leurs homologues dans d’autres parties du monde