La CNIL vient de publier sa méthode pour mener à bien des PIA (Privacy Impact Assessment) ou EIPV en français (études d’impacts sur la vie privée) dans le but d’aider les responsables de traitements dans leurs tâches de mise en conformité et pour leurs fournisseurs pour la prise en compte des particularités liées au traitement des données personnelles dès la conception de leurs produits.
L’article 34 de la Loi informatique et libertés impose aux responsables de traitement de « prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données ».
Les risques engendrés par un traitement de données doivent être identifiés par le responsable de ce traitement afin d’engager les moyens nécessaires pour les diminuer.
Dans sa mission de service public, la CNIL propose une méthode PIA (Privacy Impact Assessment) reposant sur deux piliers :
• Les principes et droits fondamentaux, « non négociables », qui sont fixés par la loi et doivent être respectés. Ils ne peuvent faire l’objet d’aucune modulation, quelles que soient la nature, la gravité et la vraisemblance des risques encourus ;
• La gestion des risques sur la vie privée des personnes concernées, qui permet de déterminer les mesures techniques et d’organisation appropriées pour protéger les données personnelles.
Pour mettre en œuvre ces deux piliers, la démarche comprend 4 étapes :
• Etude du contexte : délimiter et décrire les traitements considérés, leur contexte et leurs enjeux ;
• Etude des mesures : identifier les mesures existantes ou prévues (d’une part pour respecter les exigences légales, d’autre part pour traiter les risques sur la vie privée) ;
• Etude des risques : apprécier les risques liés à la sécurité des données et qui pourraient avoir des impacts sur la vie privée des personnes concernées, afin de vérifier qu’ils sont traités de manière proportionnée ;
• Validation : décider de valider la manière dont il est prévu de respecter les exigences légales et de traiter les risques, ou bien refaire une itération des étapes précédentes.
L’application de cette méthode par les entreprises devrait ainsi leur permettre d’assurer une prise en compte de la protection des données personnelles dans le cadre de leurs activités. Néanmoins, cette méthode standardisée et tout public nécessitera le regard d’un expert afin de personnaliser et d’adapter la protection des données personnelles et l’entreprise effectuant le traitement.
Le Département IT du Cabinet HAAS accompagne chacun de ces acteurs pour assurer la sécurité juridique des projets dans le cadre de la définition d’une stratégie digitale globale incluant l’audit juridique des solutions proposées et l’assistance nécessaire à leur mise en œuvre (formalités préalables, mentions d’information, création d’un « référentiel sécurité »…).
Vous souhaitez en savoir plus ? Consultez nous en cliquant ICI.
#ecommerce, #avocat, #internet, #ecommercesitemarchand, #cnil
