Les analyses d’impact (PIA) permettent d’évaluer le risque pour les personnes dans le cas où les données personnelles subiraient une violation (perte, destruction, altération…). Ces analyses permettent aux responsables de traitement d’améliorer les mesures de sécurité des traitements et ainsi réduire le risque d’incidents. 

Un traitement de données doit faire l’objet d’une analyse d’impact s’il possède au moins deux des neuf critères issus des lignes directrices du G29 (aujourd’hui CEPD).

Retrouvez les critères pour réaliser un PIA dans notre article de blog : Comment réaliser un PIA ? Les points essentiels

La CNIL et les analyses d’impact

Lors de l’entrée en application du RGPD le 25 mai 2018, la CNIL a précisé les traitements nécessitant une analyse d’impact immédiate. 

• Il s’agit des traitements déjà existant avant le 25 mai 2018, qui avaient été déclarés auprès de la CNIL mais qui ont subi une modification substantielle après l’entrée en application du RGPD. 
• Les traitements de donnés existant et non déclarés à la CNIL 
• Les traitements de données personnelles créés à partir du 25 mai 2018

La CNIL avait cependant accordé un délai de 3 ans. Cette période avait été accordé pour réaliser des analyses d’impact sur les traitements de données suivants : 

• Pour ceux qui avaient été déclarés à la CNIL avant le 24 mai et qui avaient reçu un récépissé, un avis même tacite ou bien une autorisation 
• Ceux qui ont déjà fait l’objet d’une analyse d’impact avant 2018
• Ceux qui avaient été consignés au registre d’un CIL (Correspondant informatique et liberté) 

Nous arrivons maintenant à la fin de cette période de 3 ans où certaines analyses d’impact n’étaient pas nécessaires. Il convient donc maintenant d’évaluer les traitements sur les critères du G29 et d’évaluer la nécessité d’effectuer un PIA. 

Et vous, devez vous réaliser une analyse d’impact ? Pour simplifier la réalisation des PIA, Mission RGPD a créé une application simple et guidée pour vous aider dans cette démarche. Demandez une démo (CTA)