L'analyse d'impact relative à la protection des données (AIPD) ne peut être un simple exercice formel consistant à reproduire un modèle générique fourni par le sous-traitant. Elle doit comporter une analyse personnalisée et approfondie des risques, ainsi qu'une démonstration matérielle du test de nécessité et de proportionnalité, faute de quoi le responsable du traitement manque à ses obligations au titre de l'article 35 du RGPD.

Faits et contexte

L'Agence espagnole de protection des données (AEPD) a publié une décision prononçant une déclaration d'infraction à l'encontre de la FONDATION CANARIENNE POUR LA PROMOTION DU TRANSPORT SPÉCIAL ADAPTÉ pour un manquement relatif à la réalisation d'une analyse d'impact sur la protection des données.

L'affaire trouve son origine dans une plainte déposée le 30 novembre 2023 concernant l'utilisation d'un système biométrique par empreinte digitale pour le contrôle du temps de travail des employés, mis en place en octobre 2023.

Motifs de la décision

L'autorité a examiné la conformité du traitement, notamment au regard de l'obligation de réaliser une analyse d'impact. Bien que l'enquête ait initialement porté sur des violations potentielles des articles 9 et 35 du RGPD, l'AEPD a finalement classé le manquement à l'article 9, considérant que les défaillances de l'analyse d'impact étaient à l'origine de la mise en œuvre non conforme du traitement. Le seul manquement retenu est donc le suivant :

• Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'autorité a constaté que l'analyse d'impact fournie par la fondation était une copie quasi-identique d'un document générique élaboré par son sous-traitant (***EMPRESA.1). Le document n'était ni daté ni signé, et n'était pas adapté au contexte spécifique de la fondation, contenant même des références à des technologies non utilisées comme la reconnaissance faciale. L'AEPD a jugé l'analyse des risques manifestement insuffisante, se limitant à des tableaux génériques écartant sans justification des risques évidents et proposant des mesures de mitigation abstraites telles que la "sécurité liée aux ressources humaines" au lieu de garanties concrètes. De plus, l'évaluation de la nécessité et de la proportionnalité se résumait à un unique paragraphe déclaratif, sans aucune analyse des alternatives moins intrusives, alors même qu'un système par cartes a finalement été mis en place. L'autorité a donc conclu que le document n'était qu'un exercice formel et ne constituait pas une véritable analyse d'impact conforme aux exigences de l'article 35, paragraphe 7, du RGPD.

Décision de l'autorité

En conséquence, l'autorité a prononcé une déclaration d'infraction à l'encontre de la FONDATION pour violation de l'article 35 du RGPD. En raison de son statut de fondation du secteur public, l'entité n'a pas fait l'objet d'une amende pécuniaire, conformément à l'article 77 de la loi organique espagnole sur la protection des données et la garantie des droits numériques (LOPDGDD).

En outre, l'autorité a ordonné la notification de sa décision au Défenseur du Peuple et sa publication.

Enseignements

Cette décision rappelle que :

• Une analyse d'impact ne peut se limiter à la simple reproduction d'un modèle générique fourni par un sous-traitant ; elle doit être personnalisée pour refléter le contexte, les risques et les particularités spécifiques au traitement du responsable.
• Le triple test d'adéquation, de nécessité et de proportionnalité doit être matériellement démontré dans l'analyse d'impact, en évaluant concrètement les alternatives moins intrusives et en justifiant pourquoi elles ne sont pas retenues.
• L'analyse des risques doit identifier des menaces spécifiques au traitement et y associer des mesures de réduction concrètes et détaillées, et non des catégories de mesures abstraites.