Analyse des risques pour les droits et libertés (RGPD)

Définition

L'analyse des risques pour les droits et libertés des personnes physiques est la démarche que le RGPD impose au responsable de traitement pour évaluer les conséquences potentielles d'un traitement de données sur les individus concernés, en amont de la décision de le mettre en œuvre ou de la nécessité de réaliser une analyse d'impact formelle. Contrairement à une analyse de risque classique en sécurité de l'information, centrée sur les actifs et les intérêts de l'organisation, cette analyse adopte le point de vue de la personne concernée et cherche à identifier les impacts potentiels sur ses droits fondamentaux : discrimination, usurpation d'identité, perte de contrôle sur ses données, atteinte à la réputation, préjudice financier, ou encore restriction illégitime de ses droits et libertés. Cette approche centrée sur la personne, distincte de la gestion des risques organisationnels traditionnelle, est au cœur de la méthodologie promue par la CNIL et reprise par les autorités de contrôle européennes pour déterminer si un traitement présente un risque élevé justifiant une analyse d'impact relative à la protection des données au titre de l'article 35. Elle s'appuie sur l'estimation combinée de la gravité potentielle d'un impact et de sa vraisemblance d'occurrence, en tenant compte de la nature des données traitées, de l'ampleur du traitement et du contexte dans lequel il s'inscrit, notamment le degré de vulnérabilité des personnes concernées.