Lexagone vous accompagne dans la mise en place et le suivi de votre Analyse d’Impact sur la Protection des Données (AIPD).
Identifiez vos traitements à risque, sécurisez vos processus, et assurez la conformité RGPD pour protéger durablement vos données et votre organisation.
Demandez une consultation gratuite dès aujourd’hui !
Dès 2018, Lexagone a réalisé des AIPD pour des traitements innovants dont certains ont été soumis à la CNIL en tant que DPO externe ou cabinet de conseil RGPD.
Ces missions ont permis à nos experts RGPD d’identifier très tôt les exigences de la CNIL et d’éprouver la méthode EBIOS Risk Manager.
Ainsi pour la réalisation de vos AIPD nous collaborons étroitement avec les métiers, le RSSI et la direction des systèmes d’information (DSI) afin de cartographier très précisément les aspects techniques et organisationnels du traitement à risque afin d’évaluer la gravité et la vraisemblance des évènements redoutés.
Les AIPD sont obligatoires pour tout traitement de données à caractère personnel présentant un risque élevé pour les droits et libertés des personnes concernées.
La CNIL a établi la liste des types d’opérations de traitement pour lesquelles il est obligatoire de réaliser une AIPD. Voici un extrait de la liste :
Les AIPD sont également obligatoires pour les traitements comprenant au moins deux des neuf critères issus des lignes directrices du G29 :
Une AIPD se décompose en trois parties :
Le rapport de l’AIPD devra déterminer les mesures techniques et organisationnelles nécessaires pour supprimer ou atténuer la vraisemblance de réalisation des risques de violation de données et le niveau d’impact matériel et moral sur les personnes.
NB : Analyse d’Impact Relative à la Protection des données (AIPD), Etude d’Impact sur la Vie Privée (EIVP), Data Protection Impact Assessment (DPIA) et PIA (Privacy Impact Assessment) sont des termes synonymes.
Le responsable de traitement (RT) a l’obligation de s’assurer de la conformité de ses traitements de données personnelles.
Si le RT a désigné un délégué à la protection des données, il lui demande conseil et le charge de s’assurer de l’exécution de l’AIPD.
Si un sous-traitant intervient dans le traitement, il doit fournir son aide et les informations nécessaires à la réalisation de l’AIPD.
Enfin, le responsable de traitement devrait également demander l’avis des personnes concernées par le traitement à risque ou dans le cas contraire justifier cette non-sollicitation.
Pour que votre AIPD soit complète, il faut que les métiers (maîtrise d’ouvrage) et les personnes en charge de la sécurité des systèmes d’information participent au processus de réalisation de l’AIPD et à sa validation.
A titre préliminaire, une AIPD doit obligatoirement contenir :
Pour répondre à ces obligations, plusieurs méthodes sont possibles. En effet, le responsable de traitement est libre de la choisir mais quelle que soit la méthode retenue, celle-ci devra respecter les critères définis dans l’annexe 2 des lignes directrices du G29.
Toutefois, par souci d’efficacité et de pragmatisme, il est fortement conseillé d’utiliser la méthode EBIOS Rick Manager retenue par la CNIL et l’ANSSI que Lexagone utilise aussi.
Email : contact@lexagone.fr
Téléphone : +33 (0)972 169 310
Notre cabinet de conseil RGPD propose des prestations de DPO externe orchestrées par des équipes de juristes spécialisés pour une gouvernance RGPD maîtrisée.
Membre de :
Référencé par :
