Certains traitements de données personnelles mis en place par les employeurs sont dispensés d’analyse d’impact.
Le Règlement général relatif à la protection des données (RGPD), adopté au niveau européen et entré en vigueur le 25 mai 2018, s’impose à toute entreprise qui collecte ou traite des données personnelles pour son compte ou pour celui d’un tiers.
Une donnée personnelle est une information qui permet, à elle seule ou en la croisant avec d’autres données, d’identifier une personne soit directement (nom, prénom), soit indirectement (téléphone, courriel, adresse, photo, voix, caractéristiques physiques, empreintes…). Dès lors qu’il regroupe ce type d’informations, un fichier (papier ou numérique) est considéré comme un traitement de données personnelles et doit ainsi être constitué et géré conformément au RGPD.
L’entreprise qui met en place des traitements « susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes » (gestion des alertes et des signalements en matière professionnelle, notation des personnes, vidéosurveillance constante…) doit préalablement réaliser une analyse d’impact relative à la protection des données.
À l’inverse, certains traitements sont dispensés de cette démarche. La Commission nationale de l’informatique et des libertés (Cnil) vient ainsi de publier une liste, non limitative, de ces traitements. Les employeurs n’ont donc pas à effectuer d’analyse d’impact pour :
En complément : sont également exemptés d’analyse d’impact les traitements de gestion de la relation fournisseurs (traitement permettant d’effectuer les opérations administratives liées aux contrats, aux commandes, aux réceptions, aux factures, aux règlements, etc., d’établir les titres de paiement, d’établir des statistiques financières et de chiffre d’affaires par fournisseur, d’entretenir une documentation sur les fournisseurs…).
Délibération Cnil n° 2019-118 du 12 septembre 2019, JO du 22 octobre
© Les Echos Publishing 2019