View
12
Download
0
Category
Preview:
Citation preview
10e ÉDITION
RGPD : appréhender la méthodologie de la PIA et les solutions d’anonymisation de données
Romain PERRAY
Romain Perray a développé une expertise très spécifique en matière de droit à la protection des données
personnelles comme des données publiques ainsi qu’en matière de cybersécurité, qu’il enseigne au sein
du Master II – Droit du Commerce Électronique et de l’Économie Numérique de l’Université Paris I, du
Master II – Droit de la Communication de l’Université de Paris II et du Master II de Droit de Protection
des Données Personnelles de l’Université de Paris V Descartes.
Il intervient aussi bien pour des grands groupes français et internationaux que pour des autorités
publiques, dans le cadre de projets impliquant des transferts transfrontaliers de données, des accords
entre des responsables de traitement conjoints comme entre un responsable de traitement et son ou ses
sous-traitants. Romain a également assisté ses clients dans l’analyse des mesures d’anonymisation ou de
pseudonymisation à mettre en place pour pouvoir exploiter les données personnelles dont ils avaient eu
communication. Romain a aussi procédé à la rédaction de politiques de confidentialité de même que celle
portant sur l’utilisation de cookies et l’utilisation de données à caractère personnel à des fins marketing, y
compris de publicité ciblée, notamment dans le cadre de projets Big Data.
Fort de son expérience, il est l’auteur des fascicules du JurisClasseur Administratif et Communication,
ainsi que des développements relatifs à la protection des données personnelles et de la
vidéosurveillance/vidéoprotection au sein du Guide Pratique Lamy Droit du Numérique. Il publie
également de manière régulière au sein des revues Communication Commerce Electronique, Revue
Lamy Droit de l’Immatériel et Lexology.
Tel.: +33 1 81 69 15 27
Mob.: +33 6 74 40 95 43
Email: rperray@mwe.com
Expertise :
Données personnelles &
Cybersécurité
Chargé d’enseignement
Paris I, II, V
Barreau de Paris
Plan
Introduction
I. Distinguer statistiques, pseudonymisation et anonymisation
II. Pseudonymisation et anonymisation : impacts opérationnels
III. Utilité des mesures de pseudonymisation
IV. Méthodologie d’étude d’impact
Introduction
Historique
1970 - Législation nationale
• Développement de l’utilisation de l’informatique par les administrations
• Fichage public
• Interconnexion entre les traitements publics (numéro de sécurité sociale)
• Développement de l’utilisation de l’informatique par les administrations
• Fichage public
• Interconnexion entre les traitements publics (numéro de sécurité sociale)
1995 - Directive 95/46/CE
• Développement de l’utilisation de l’informatique par les entreprises et les particuliers
• Fichage privé
• Internationalisation des échanges
2016 - Règlement 2016/679/UE
• Atomisation du traitement
• Démultiplication des destinataires (ex : cloud computing, big data)
• Finalités ultérieures différentes (ex : profilage)
Atomisation des traitements de données à caractère personnel
Graph representing the metadata of thousands of archive documents, documenting the social network of hundreds of League of Nations personals. Published in: Grandjean,
Martin (2014). « La connaissance est un réseau ». Les Cahiers du Numérique 10 (3): 37-54. CC-BY-SA 3.0
Importance de l’ampleur du traitement
mwe.com
50 millions d’euros
Etablissement principal
Parcours clients
Transparence
Combinaison
Ampleur
Intrusif
Licéité
Pseudonymisation et anonymisation : quelle utilité ?
ENJEUX
Valoriser au mieux ses bases de données, en conservant un niveau de précision suffisant des données
Garantir de manière constante la sécurité et la confidentialité des données
Eviter l’application de certaines des obligations du RGPD, voire exclure les données du champ d’application du RGPD
Assurer la conformité aux exigences du RGPD, notamment en termes de minimisation
Distinguer statistiques, pseudonymisation et
anonymisation
01
PRINCIPALES DATES
24 octobre 1995
Adoption de la
directive 95/46/CE
4 mai 2016
Promulgation du
règlement 2016/679
(RGPD)
25 mai 2018
Entrée en application
du RGPD
16 juillet 2015
Délibération CNIL
n°2015-255 - JCDecaux
09 mai 2017
Délibération CNIL
n° 2017-145 -
Retency10 avril 2014
Avis du G29
05/2014 sur les
techniques
d’anonymisation
(WP216)
8 février 2017
Décision du Conseil
d’Etat n° 393714 –
JCDecaux
6 septembre 2018
Décision du Tribunal
administratif supérieur de
Munich : 5 CS 18.1157
portant sur l’anonymisation
/ pseudonymisation
Mars 2019
Rapport d'activité de 2017/2018
de l’Autorité bavaroise de
protection des données
portant sur l’anonymisation /
pseudonymisation
4 novembre 2019
Etude de l’AEPD &
l’EDPS sur le hachage
comme technique de
pseudonymisation de
données personnelles
3 décembre 2019
Rapport de l’ENISA
sur les bonnes
pratiques de
pseudonymisation
Distinguer statistiques, pseudonymisation et anonymisation
« Toute information se rapportant à une personne physique identifiéeou identifiable, (…) tel qu'un nom, un numéro d'identification, desdonnées de localisation, un identifiant en ligne » (RGPD, art. 4(1))
« Le traitement de données à caractère personnel de telle façonque celles-ci ne puissent plus être attribuées à une personneconcernée précise sans avoir recours à des informationssupplémentaires » (RGPD, art. 4(5))
« Toute opération de collecte et de traitement de données àcaractère personnel nécessaire pour des enquêtesstatistiques ou la production de résultats statistiques »(RGPD, cons. 162)
Granularité
Donnée
pseudonyme
Donnée
statistique
Donnée
personnelle
Donnée
anonyme
« Données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable » (RGPD, cons. 26)
Donnée
pseudonyme
Donnée
statistique
Donnée
personnelle
« Données à caractère personnel rendues anonymes detelle manière que la personne concernée ne soit pas ouplus identifiable » (RGPD, cons. 26)
Donnée
anonyme
Eviter la confusion entre anonymisation et pseudonymisation
Risque de
ré-identification Hors Champ du RGPD
Les données pseudonymisées
restent des données à caractère
personnel
Anonymisation par randomisation et
généralisation
Anonymisation par randomisation
Anonymisation par généralisationPseudonymisation
Obligation de surveiller si la
base de données demeure
anonyme
Risques de ré-identification
2015
Netflix – 2006
AOL – 2006
2014
2017
Pseudonymisation et anonymisation : impacts
opérationnels
02
Eviter les risques de réidentification
DONNÉES
PSEUDONYMISÉES
DONNÉES
AGRÉGÉES
DONNÉES
PERSONNELLES
Données
anonymiséesDonnées supplémentaires
Individualisation
Inférence
Cumul de techniques
écartant respectivement
l’individualisation, la
corrélation et l’inférence
Corrélation
CARACTÈRE PERSONNEL
DE LA DONNÉE
Données supplémentaires : nouvelles bases de données publiées
ou divulguées, bases de données détenues par des tiers
Nouvelles techniques de ré-identification
Mettre en place un processus d’anonymisation : une succession de mesures
Anonymisation
Mesures
juridiques
Mesures
techniques
Mesures
organisationnelles
Mettre en place un processus d’anonymisation : les techniques
Création d’un
identifiant aléatoire
non nominatif
en remplacement
de la donnée
nominativeidentifiable
Hachage et
/ ou salage
Hachage, salage
et chiffrement
déterministe
Agrégation
Injection
de bruit
PSEUDONYMISATION / SUPPRESSION
Substitution
de données
ou
suppression
d’un attribut
GÉNÉRALISATION
MESURES SUCCESSIVES
Retency, CNIL, délib. n° 2017-145, 9 mai 2017
Avis du G29 10 avril 2014, 05/2014 sur les techniques d’anonymisation (WP216)
RANDOMISATION
Utilité des mesures de pseudonymisation
03
Pseudonymisation : quels moments clé ?
• l’existence éventuelle d’un lien entre les finalités
initiales et ultérieures ;
• le contexte, notamment la relation entre le
traitement et les personnesresponsable de
concernées ;
• la nature des données personnelles ;
• les conséquences possibles du traitement ultérieur ;
• l’existence de garanties appropriées (ex.: chiffrement
ou pseudonymisation).
Exemple 1 Exemple 2 Exemple 3 Exemple 4
Collecte d’adresses IP à
des fins de mesures
d’audience
Codage des données de
patients dans le cadre
d’essais cliniques
Suivi des flux de piétons Réutilisation de données de
géolocalisation
Compatible Compatible Compatible /
Incompatible
Incompatible
TRAITEMENT ULTÉRIEUR
TEST DE COMPATIBILITÉ
Afin de vérifier si le traitement ultérieur à une autre fin est compatible, il convient de
prendre en compte (RGPD, art. 6(4)) :
TransmissionCollecte Hébergement
Quels intérêts à la pseudonymisation ?
Un élément de
Privacy by Design
(RGPD, art. 25)
Une mesure de
minimisation
(RGPD, art. 5(1), c)
Une garantie de
sécurité
(RGPD, art. 32)
INTERÊTS
ENISA, 3 décembre 2019, rapport sur les bonnes pratiques de pseudonymisation (« Pseudonymisation techniques and best
practices - Recommendations on shaping technology according to data protection and privacy provisions »)
ENISA, novembre 2018, étude sur la pseudonymisation (« An overview on data pseudonymisation - Recommendations on shaping
technology according to GDPR provisions)
Méthodologie d’étude d’impact
04
Quelle évolution de la réglementation ?
23
COURANT
SENSIBLE
COURANT SENSIBLE COURANT SENSIBLE
COURANT SENSIBLE
LIL DIRECTIVE 95/46 & LIL
1978 19952018
RGPD & LIL
PRIVÉ PUBLIC PRIVÉ PUBLIC PRIVÉ
PUBLIC
DIRECTIVE
2016/680 &
LIL LIL
P
O
L
I
C
E
-
J
U
S
T
I
C
E
S
Û
R
E
T
É
-
D
E
F
E
N
S
E
N
O
N
R
É
G
A
L
I
E
N
COURANT
SENSIBLE
COURANT
SENSIBLE
D
É
C
L
A
R
A
T
I
O
N
A
V
I
S
D
É
C
L
A
R
A
T
I
O
N
A
V
I
S
A
V
I
S
A
U
T
O
R
I
S
A
T
I
O
N
A
I
P
D
A
I
P
D
A
U
T
O
R
I
S
A
T
I
O
N
Quelle place dans l’accountability ?
OBLIGATION GÉNÉRALE DE NOTIFICATION PRÉALABLE
Autorisation pour certains traitements, comme ceux portant sur des données sensibles ou les transferts de données hors de l’Union européenne
Le responsable de traitement doit prendre les mesures pour être en conformité et être capable de le démontrer (RGPD, art. 5(2) et 24) :
• adoption de règles internes (RGPD, consid. 78) ;
• tenue d’un registre des activités de traitement (RGPD, art. 30) ;
• le cas échéant, mise en place d’une étude d’impact (RGPD, art. 35), voire d’une consultation préalable (RGPD, art. 36).
24
AVANT
APRÈS
AUTO-ÉVALUATION
RGPD
Quelles sanctions à ne pas réaliser d’AIPD ?
25
• Avertissement, injonction de
suspendre le traitement ou sanction
pécuniaire
• Montant maximal pouvant aller
jusqu’à 10.000.000 € ou 2% du CA
total mondial consolidé
• Décision potentiellement rendue
publique
SANCTIONS ADMINISTRATIVES AUTRES CONSEQUENCES
• En cas de contentieux, par exemple prud’homale, la
preuve obtenue au moyen d’un traitement n’ayant pas
fait l’objet d’une AIPD, pourtant obligatoire, est illicite
(par analogie, CA Paris, pôle 6, ch. 9, 12 mai 2016,
n°14/10477)
• Impact sur la valorisation de la société, en cas de
cession d’un actif ou d’une activité soumise à AIPD (par
analogie, Cass. com., 25 juin 2013, n° 12-17.037
• En revanche, dans le secteur public, l’absence d’AIPD
n’entraîne pas l’illégalité du traitement (CE, 6 nov.
2019, n°434376)
Quand conduire une étude d’impact ?
Susceptible d’engendrer
un risque élevé
(Art. 35(1), (3), et (4))
Avis du DPO
(Art. 35(2) et
art. 39(1), c))
Absence de
consultation
préalable
Consultation
préalable
DPIA non
nécessaire
Groupe de l’article 29, Lignes directrices DPIA, 4 oct. 2017, WP
248 rév.01, p. 8.
Risques résiduels
élevés?
(Art. 36 (1))
DPIA
(Art. 35(7))
Exception ?
(Art. 35(5) et (10))
Code(s) de
conduite
(Art. 35(8))
Avis des
personnes
concernées
(Art. 35(9))
Traitement revu
par le
Responsable de
traitement
(Art. 35(11))
NO
N
NON OUIOU
I
OUI
NON
Qu’est-ce qu’un « risque » ?
« un scénario qui décrit un événement et ses effets, estimés en terme de gravité et de probabilité »*
Risque
Exemple
*Groupe de l’article 29, Lignes directrices DPIA, 4oct. 2017, WP 248 rév.01, p. 7.
Recours à une nouvelle technologie (telle qu’un dispositif de géolocalisation)
Quand un risque est-il « élevé » ? (1/2)
Risque
« élevé »
Evaluation systématique et approfondie d’aspects
personnels concernant des personnes physiques
qui est fondé sur un traitement automatisé et sur la base de laquelle
sont prises des décisions produisant des effets
juridiques à l’égard d’une personne physique.
Traitement à grande échelle de données
sensibles ou de données relatives à des
condamnations pénales et à des infractions.
Surveillance systématique à grande
échelle d’une zone accessible au public.
• Evaluation ou scoring ;
• Prise de décisions automatisée avec
effet juridique ou effet similaire
significatif ;
• Surveillance systématique ;
• Données sensibles ou donnéesà
caractère hautement personnel ;
• Données traitées à grande échelle ;
• Croisement ou combinaison
d’ensembles de données ;
• Données concernant des personnes
vulnérables ;
• Utilisation innovante ou applicationde
nouvelles solutions technologiques
ou organisationnelles ;
• Traitements pouvant exclure du
bénéfice d'un droit, d'un service ou
d'un contrat*.
Quand un risque est-il « élevé » ? (1/2)
CNIL, délib. n° 2018-327, 11 oct. 2018.
Comment réaliser une AIPD ?
30
DÉCRIRE LE TRAITEMENT ET IDENTIFIER LES RAISONS DE LA
CONDUITE DE L’AIPD
1
• Identifier les risques juridiques, en plus des mesures de conformité
• Identifier les risques techniques au regard du contexte et des sources de menaces
• Evaluer tant la possibilité d’occurrence du risque que sa gravité
IDENTIFIER LES RISQUES
JURIDIQUES ET TECHNIQUES
2
IDENTIFIER LES MESURES POUR
REDUIRE OU SUPPRIMER CES
RISQUES
3
• Avis du DPO, du RSSI, des experts métiers, projectsmanagers, avocat…
• Consultation des personnes concernées, de la CNIL…
• Faisabilité, évaluation des coûts, projection dans le temps
• Attribuer les actions aux bonnes personnes avec des délais
CALCULER LE RISQUE RESIDUEL ET
LE FAIRE VALIDER PAR LE
RESPONSABLE DE TRAITEMENT
4
• Endosser l’AIPD
• Prévoir une date de vérification et mise à jour de l’AIPD
• Prévoir des audits des mesures prévues
Description générale du traitement
31
1
Analyses des risques : critères du risque élevé
• Existe-t-il un traitement de données sensibles ou de données hautement personnelles ?
• Le traitement établit-il une évaluation des personnes concernées, y compris du profilage et de prédiction?
• Le traitement implique-t-il une prise de décision automatisée ?
• Le traitement indique-t-il un contexte de surveillance systématique ?
• Existe-t-il un traitement des données personnelles à grande échelle ?
• Le traitement implique-t-il le croisement ou la combinaison de données ?
• Le traitement inclut-il des données concernant des personnes vulnérables ?
• Le traitement introduit-il une utilisation de technologies qui pourraient être perçues comme intrusives ?
• Le traitement a-t-il pour conséquence d'empêcher les personnes d'exercer un droit ou de bénéficier d'un service ou d'un contrat ?
32Groupe de l’article 29, Lignes directrices DPIA, 4 oct. 2017, WP 248 rév.01, p. 8.
Cette étape permet :• de vérifier les raisons pour lesquelles l’AIPD est conduite ;• de fournir une analyse préliminaire du niveau de risque global impliqué par le traitement.
Critères du G29
2
Analyse des risques : nature des données
Echelle d'estimation de l'impact sur la vie privée lié à la nature des données
• 1 - Mineur : Données non sensibles et limitées à des informations d'état civil et coordonnées
• 2 - Limité : Données non sensibles, susceptibles de révéler des informations sur la vie personnelleou professionnelle
• 3 - Important : Données hautement personnelles (NIR, géolocalisation, coordonnées bancaires...)
• 4 - Maximal : Données sensibles (catégories particulières) au sens du RGPD (révélant l'origineraciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques oul'appartenance syndicale, données génétiques, données biométriques aux fins d'identifier unepersonne physique de manière unique, données de santé ou concernant la vie sexuelle oul'orientation sexuelle, données relatives aux condamnations pénales et aux infractions ou auxmesures de sûreté connexes)
33
2
Analyse des risques : risques juridiques et techniques
34
Echelle d'estimation de la probabilité de réalisation du risque :
1. Mineur : il ne semble pas possible que la menace puisse être réalisée au regard des caractéristiques du traitement.
2. Limité : il semble difficile que la menace puisse être réalisée au regard des caractéristiques du traitement.
3. Important : il semble possible que la menace puisse être réalisée au regard des caractéristiques du traitement.
4. Maximal : il semble extrêmement facile que la menace puisse être réalisée au regard des caractéristiques du traitement.
Echelle d'estimation de la gravité / impact du risque :
1. Mineur : Les personnes concernées ne seront pas impactées ou pourraient connaître quelques désagréments, qu’elles surmonteront sans difficultés
2. Limité : Les personnes concernées pourraient connaître des désagréments significatifs, qu’elles pourront surmonter malgré quelques difficultés
3. Important : Les personnes concernées pourraient connaître des conséquences significatives, qu’elles devraient pouvoir surmonter, mais avec des difficultés réelles et significatives
4. Maximal : Les personnes concernées pourraient connaître des conséquences significatives, voire irrémédiables, qu’elles pourraient ne pas surmonter
Echelle de calcul du niveau de risque juridique
Impact / Gravité
4 - Maximal 4 4 4 4
3 - Important 3 3 4 4
2 - Limité 2 2 3 3
1 - Mineur 1 2 2 3
Probabilité1 -Mineur
2 - Limité3 -Important
4 - Maximal
1 2 3
2
Effectivité des mesures correctives, garanties permettant de réduire les risques identifiés
35
Echelle d'estimation de l'effectivité de la mesure corrective / garantie
1. Négligeable : la mesure n'est pas mise en oeuvre ou ne réduit pas le niveau de risque
2. Limitée : la mesure n'est pas systématiquement mise en oeuvre ou ne réduit que très peu le niveau de risque
3. Importante : la mesure est systématiquement mise en oeuvre mais ne réduit pas complètement le niveau de risque ou ne correspond pas aux recommandations du secteur / à l'état de l'art
4. Maximale : la mesure est systématiquement mise en oeuvre et supprime totalement ou quasi-totalement le risque
2
Important : •attribuer les mesures à une personne ouun service, assorties d’une deadline précise
•suivre la mise en place des mesures lorsdes réunions projet.
1
3
Evaluation du risque résiduel
36
Notation du risque résiduel, au regard du niveau de risque initial et de l’effectivité des mesures correctives/garanties, sans matrice, au regard des justifications apportées
1
Analyse par le responsable de traitement :-Évaluation de la nature acceptable ouaméliorable du niveau de risque résiduel ;-Vérification par un tiers ;-Validation par le responsable de traitement
2
4
Évaluation de la nécessité et de la proportionnalité
Évaluation desrisques pour lesdroits et libertés
Mesures envisagées pour faire face aux
risques
Documentation
Suivi et examen
• mener l’AIPD dès les premières
étapes du traitement des données
afin d'identifier les risques à un
moment où le traitement des données
peut encore être modifié (privacy by
design) ;
• l’AIPD doit être signée par les
personnes appropriées dans
l'entreprise ;
• une procédure de révision doit être
mise en place, non seulement lorsque
le traitement des données est modifié,
mais de temps en temps, afin de
vérifier si les risques ont changé pour
d'autres raisons
Processus
Attention
au « release and forget »
Quel suivi ?Description des opérations de
traitement envisagées
Évaluation de la nécessité et de la proportionnalité
Évaluation des risques pour les droits et libertés
Mesures envisagées pour faire face aux
risques
Documentation
Suivi et examen
Quand consulter préalablement la CNIL ?
Consultation préalable
Lorsque les individus ne seraient pas susceptibles de pouvoir surmonter
les risques :
Ex.: Accès illégitime à leurs données de nature à
menacer leur vie, entraîner une mise à pied,
mettre en péril leur situation financière.
Lorsqu’il semble évident que le risque se concrétisera :
Ex.: Dans la mesure où il n’est pas possible de réduire le nombre de
personnes accédant aux données en raison de leurs modes de partage,
d’utilisation ou de distribution.
Lorsque le responsable de traitement ne parvient pas à identifier des mesures suffisantes pour réduire les risques à un niveau
acceptable.
Lorsque l’analyse d’impact indique que le traitement présenterait un risque élevé, c’est-à-dire les conséquences importantes pour
les personnes concernées, si le responsable de traitement ne prenait pas de mesures pour l’atténuer.
MERCI DE VOTRE
ATTENTION
Recommended