Contexte
Dans une fiche de traitement, la question "Le traitement correspond-t-il à un ou plusieurs des critères suivants ?" est posée.
La liste de critères qui suit cette question est déterminée par l'autorité européenne de la protection des données : le CEPD (anciennement G29). Ces critères donnent un indice sur le risque que représente le traitement. C'est à dire que si l'activité que vous déclarez correspond à un ou plusieurs critères, elle peut avoir des conséquences plus graves pour les personnes.
Ces critères sont à prendre en compte pour évaluer si une analyse d'impact (PIA) est nécessaire voir obligatoire. Le PIA est une analyse supplémentaire du traitement, il sert à évaluer si les mesures que vous mettez en place sont suffisantes pour protéger les données des personnes.
Présentation des 9 critères
Voici les 9 critères proposés qui sont susceptibles d'augmenter le risque pour la vie privée :
Évaluation/scoring (y compris le profilage) ;
Décision automatique avec effet légal ou similaire ;
Surveillance systématique ;
Collecte de données sensibles ou données à caractère hautement personnel ;
Collecte de données personnelles à large échelle ;
Croisement de données ;
Personnes vulnérables (patients, personnes âgées, enfants, etc.) ;
Usage innovant (utilisation d’une nouvelle technologie) ;
Exclusion du bénéfice d’un droit/contrat.