Article 17. Analyse d'impact

Article 17. Analyse d'impact

1. Lorsqu'un type de traitement, en particulier s'il recourt à de nouvelles technologies, et compte tenu de sa nature, de sa portée, de son contexte ou de ses finalités, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement, qu'il soit public ou privé, doit effectuer, avant le traitement, une analyse de l'impact des opérations de traitement sur la protection des données personnelles. Dans le cas d'une opération de traitement déjà en cours, une analyse d'impact doit être effectuée dès qu'un risque grave pour les droits et libertés des personnes est détecté.

2. L'analyse d'impact n'est pas une tâche ponctuelle ; elle doit être mise à jour périodiquement.

3. Un traitement comporte un risque élevé soit lorsque se produisent les trois situations précisées dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, soit lorsque deux ou plusieurs des critères suivants apparaissent dans une opération de traitement :

a) L'évaluation ou la notation des personnes concernées, y compris le profilage.

b) La prise de décisions automatisées produisant des effets juridiques significatifs à l'égard des personnes physiques ou les affectant de manière significative de façon similaire.

c) L'observation systématique des personnes concernées.

d) Des données sensibles (spécialement protégées).

e) Un traitement de données à grande échelle.

f) L'association ou la combinaison d'ensembles de données.

g) Des données relatives à des personnes concernées vulnérables, telles que des mineurs, des employés ou des groupes plus vulnérables de la population qui nécessitent une protection spéciale.

h) L'usage innovant ou l'application de nouvelles solutions technologiques ou organisationnelles.

i) Le traitement empêche les personnes concernées d'exercer un droit, d'utiliser un service ou d'exécuter un contrat.

j) Des traitements de données économiques et financières par des entités bancaires ou des établissements financiers.

4. Le délégué à la protection des données peut suggérer à tout moment la réalisation d'une analyse d'impact et, en cas de doute, il doit se prononcer sur la nécessité ou non de cette analyse.

5. La notion de grande échelle établie dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles dépend des critères suivants :

a) Le nombre de personnes concernées, soit en valeur absolue, soit en proportion d'une population déterminée.

b) Le volume et la variété des données traitées. En tout état de cause, le traitement de données personnelles de plus de cinq mille personnes concernées implique la qualification de traitement à grande échelle.

c) La durée ou la permanence de l'activité de traitement.

d) L'étendue géographique de l'activité de traitement.

6. Sans préjudice des traitements mentionnés, conformément à la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, l'Agence andorrane de protection des données peut publier à tout moment une liste complémentaire d'activités qui requièrent une analyse d'impact.

7. Indépendamment du risque que peut présenter une opération de traitement, il n'est pas nécessaire d'effectuer une analyse d'impact :

a) Si une analyse d'impact a déjà été effectuée pour un autre traitement très similaire en termes de nature, de portée, de contexte et de finalités.

b) Lorsque le traitement figure sur une liste de traitements (publiée par l'Agence andorrane de protection des données) qui ne requièrent pas d'analyse d'impact.

8. L'échelle des risques établie dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles doit être établie compte tenu des critères d'impact et de probabilité de la menace. Pour calculer le niveau de risque associé à un traitement de données, le responsable du traitement doit combiner la gravité de l'impact éventuel avec la probabilité de la menace, en prenant toujours comme point de vue et comme référence les personnes concernées, conformément au tableau d'évaluation des risques figurant à l'annexe 1 du présent Règlement.

9. Lorsque, avant de commencer un traitement, le responsable (ou le sous-traitant) du traitement constate que le risque de conséquences pour les droits et libertés des personnes est élevé, il doit soumettre à l'Agence andorrane de protection des données l'opportunité du traitement et les mesures qu'il entend y appliquer.

10. La communication à l'Agence andorrane de protection des données des analyses d'impact qui présentent un risque élevé, établie dans la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles, s'effectue par voie télématique et est accompagnée de la documentation définie dans ladite Loi. L'Agence peut inviter le responsable à fournir ultérieurement toute information qu'elle juge pertinente pour répondre à la consultation effectuée.