Analyse d'impact (AIPD) : trame simplifiée RH

L'article 35 du RGPD impose une analyse d'impact, avant le traitement, lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. La liste adoptée par la CNIL vise notamment les traitements ayant pour finalité de surveiller de manière constante l'activité des employés (délibération n° 2018-327 du 11 octobre 2018). La trame suit le contenu minimal de l'article 35, paragraphe 7 : description des opérations et des finalités, nécessité et proportionnalité, évaluation des risques pour les salariés, mesures envisagées. Le délégué à la protection des données, s'il a été désigné, est consulté. Le CSE est informé et consulté sur les moyens de contrôle de l'activité (article L. 2312-38 du Code du travail). Lorsque l'analyse indique un risque élevé faute de mesures d'atténuation, la CNIL est consultée avant le traitement (article 36 du RGPD). Pour un traitement complexe, biométrique ou algorithmique, le mode d'emploi conseille un spécialiste.