Analyse d’impact relative à la protection des données : quand est-elle nécessaire pour les caisses de pension en Suisse ?

Avec la révision de la loi fédérale sur la protection des données (LPD), les exigences relatives au traitement des données personnelles ont été considérablement renforcées. Une des nouveautés majeures est l’obligation de réaliser une analyse d’impact relative à la protection des données (AIPD) lorsqu’un traitement de données envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Pour les caisses de pension qui traitent régulièrement des données personnelles particulièrement sensibles, telles que des informations médicales, des données sur les prestations ou des données techniques d’assurance, cette obligation revêt une importance croissante. L’AIPD a pour objectif de permettre au responsable du traitement d’évaluer les risques liés au traitement à un stade précoce, d’identifier les mesures à prendre pour les minimiser et d’adapter les mesures techniques et organisationnelles en conséquence.

Critères pour une AIPD selon la LPD suisse 

Conformément à l’art. 22 de la LPD, une AIPD doit notamment être effectuée lorsque le traitement peut engendrer un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. C’est notamment le cas lors d’un traitement à grande échelle de données personnelles particulièrement sensibles. Cela inclut les données médicales et les données relatives aux mesures d’aide sociale. L’utilisation de nouvelles technologies peut également présenter un tel risque. Selon le Préposé fédéral à la protection des données et à la transparence (PFPDT), le « profilage à haut risque » au sens de l’art. 5, let. g de la LPD, en fait également partie. Dans le cas des organes fédéraux, il convient toujours de vérifier si la nature, l’étendue ou les circonstances du traitement présentent un risque élevé pour les droits fondamentaux des personnes concernées. Il peut s’agir de restriction du droit à l’autodétermination informationnelle ou du respect à la vie privée. Les indicateurs d’un traitement à haut risque en ce qui concerne l’étendue du traitement des données sont les suivants :  un volume important de données personnelles, un grand nombre de personnes concernées, un traitement de longue durée ou un traitement couvrant une vaste zone géographique. La procédure d’évaluation préliminaire des risques mise au point par l’Office fédéral de la justice est disponible ici :https://www.bj.admin.ch/dam/bj/fr/data/staat/datenschutz/instrument-risikovorpruefung.xlsx.download.xlsx/instrument-risikovorpruefung-f.xlsx

La réalisation d’une AIPD peut également s’avérer nécessaire lorsque la caisse de pension utilise une solution cloud pour le traitement et le stockage de données. Un changement du ou des partenaires d’externalisation peut également rendre une AIPD nécessaire, notamment lorsque la gestion technique a été externalisée à un tiers et que ce prestataire doit être remplacé.

Procédure et méthodologie

Il appartient à l’entité responsable de déterminer si une AIPD est nécessaire. Conformément à l’art. 26 de l’ordonnance sur la protection des données (OPD), le conseiller à la protection des données assiste l’organe fédéral responsable lors de l’élaboration de l’AIPD et en vérifie l’exécution. La LPD définit le cadre général, mais laisse une grande liberté dans la mise en œuvre concrète. Conformément à l’art.22, al.3 de la LPD, l’AIPD doit contenir une description du traitement envisagé, une évaluation des risques pour la personnalité ou les droits fondamentaux de la personne concernée, ainsi que les mesures de protection correspondantes. Les étapes suivantes ont fait leurs preuves dans la pratique :

  1. Réaliser une analyse de seuil afin de déterminer la nécessité d’une AIPD. Il convient au minimum de vérifier s’il y a un traitement important de données personnelles sensibles ou une surveillance systématique et étendue d’espaces publics.
  1. Effectuer l’AIPD
  • Décrire le traitement de données envisagé : la description doit comprendre la nature, la finalité, l’étendue, la durée et les parties prenantes (par ex., les prestataires informatiques) de ce traitement. Il faut également consigner les éléments à l’origine du risque élevé

  • Identifier les risques : il peut s’agir de risques liés à la sécurité de l’information (par exemple panne du système et perte de données, manipulation, indisponibilité), ou à la protection des données (par ex. détournement de finalité, accès non autorisé, traitement incorrect, ou atteinte aux droits des personnes concernées).

  • Evaluer les risques pour la personnalité et les droits fondamentaux, et estimez la probabilité de leurs occurrences et leurs conséquences, telles que la discrimination, les préjudices financiers, atteinte à la vie privée ou à l’autodétermination informationnelle.

  • Définir les mesures de protection visant à réduire les risques (par ex. minimisation des données, restrictions d’accès, chiffrement, audits réguliers et sensibilisation du personnel) puis associez les mesures aux risques identifiés.

  • Evaluer les risques résiduels. Si, après l’AIPD un risque élevé subsiste, l’avis du PFPDT doit être sollicité avant le début du traitement. Celui-ci rendra un avis sous 2 mois, qui devra être intégré au rapport final de l’AIPD.

L’AIPD doit être consigné par écrit. Elle constitue une preuve auprès des autorités de contrôle et doit, conformément à l’art. 14 de l’OPD, être conservée pendant au moins 2 ans après la fin du traitement des données.