Une analyse d’impact est un processus consistant

• à décrire le traitement de données,
• à évaluer la nécessité ainsi que la proportionnalité du traitement,
• à aider à gérer les risques pour les droits et libertés des personnes physiques liés au traitement de leurs données à caractère personnel.

Cette gestion des risques pour les personnes concernées est réalisée en

• en évaluant les risques,
• en déterminant les mesures nécessaires pour y faire face. 

Les risques à évaluer sont de trois ordres :

• la perte de confidentialité des données, c’est-à-dire un accès non autorisé ou accidentel aux données
• la perte d’intégrité des données, c’est-à-dire la modification non autorisée ou la modification accidentelle des données
• la perte de disponibilité des données, c’est-à-dire la disparition ou la destruction.

L’évaluation des risques se fait d’après leur vraisemblance et leur gravité

• la vraisemblance, c’est-à-dire la probabilité que le risque survienne,
• la gravité des risques pour les personnes concernées.

Des mesures de sécurité sont mises en place pour limiter les impacts sur la vie privée des personnes concernées et que le traitement ne présente pas de risques pour les personnes concernées.

Si le traitement présente un risque résiduel à l’issue de l’analyse d’impact, et que le responsable de traitement souhaite mettre en place le traitement, alors l’autorité compétente, la CNIL, devra être consultée.  

L’analyse d’impact est obligatoire pour certains traitements de données, notamment les traitements à grande échelle de données sensibles. Alors que d’autres traitements n’en requièrent pas.

Même si elle n’est pas obligatoire, l’analyse d’impact permet de s’assurer de la conformité du traitement à la Règlementation.

Article 35 du RGPD – Analyse d’impact relative à la protection des données