Le partenaire peut-il faire l'AIPD à la place de son client ?

Il peut l'aider et préparer les éléments techniques. Mais l'analyse reste l'obligation du client, responsable de traitement : le guide de la CNIL précise que sa réalisation ne relève pas de la responsabilité du sous-traitant.

Un seul critère suffit-il à rendre l'AIPD obligatoire ?

La règle est de deux critères sur neuf, ou un traitement figurant sur la liste de la CNIL. La CNIL ajoute qu'un seul critère peut suffire si le responsable estime que le traitement présente un risque élevé.

AIPD : ce que le sous-traitant doit à son client

L'analyse d'impact relative à la protection des données (AIPD) est une obligation du responsable de traitement, donc en général du client qui installe l'assistant. Le sous-traitant ne la réalise pas à sa place, mais il doit l'aider et lui fournir les informations nécessaires : c'est l'article 28, paragraphe 3, point f, du RGPD (règlement général sur la protection des données). Dans une chaîne de revente, une bonne partie de ces informations est chez l'éditeur de la plateforme. Votre rôle de partenaire est de les obtenir et de les remettre à votre client sous une forme utilisable.

Quand l'AIPD s'impose

L'article 35 demande une analyse avant le traitement quand celui-ci, « en particulier par le recours à de nouvelles technologies », est susceptible d'engendrer un risque élevé pour les personnes. La CNIL (Commission nationale de l'informatique et des libertés) précise qu'elle est obligatoire dans deux cas :

le traitement figure sur la liste publiée par la CNIL des traitements pour lesquels une AIPD est requise ;
le traitement remplit au moins deux des neuf critères suivants.

Les neuf critères repris par la CNIL :

évaluation ou notation (y compris le profilage) ;
décision automatique avec effet légal ou similaire ;
surveillance systématique ;
données sensibles ou à caractère hautement personnel ;
données à large échelle ;
croisement de données ;
personnes vulnérables (patients, personnes âgées, enfants…) ;
usage innovant (utilisation d'une nouvelle technologie) ;
exclusion du bénéfice d'un droit ou d'un contrat.

Lecture pour trois assistants (hypothèses)

Assistant (exemple fictif)	Critères qui peuvent être en jeu	Lecture prudente
Réponses aux questions sur les produits d'une boutique en ligne	Usage innovant, éventuellement	Un critère : pas d'AIPD automatique, mais le client peut juger le risque élevé
Assistant qui note les demandes des visiteurs pour classer les prospects	Évaluation ou notation, usage innovant, large échelle selon le volume	Deux critères ou plus : AIPD probable
Assistant d'un centre de soins qui répond aux patients	Données sensibles, personnes vulnérables, usage innovant	AIPD à prévoir

La CNIL l'écrit pour les chatbots : quand la collecte de données sensibles est prévisible, elles font partie des critères pouvant imposer une AIPD, et un autre critère, comme la grande échelle, peut la rendre obligatoire. Voir les données sensibles dans un chatbot.

Ce tableau illustre un raisonnement ; il ne remplace pas l'analyse du client.

Qui fait quoi

Acteur	Rôle dans l'AIPD
Client (responsable)	Décide s'il faut une AIPD, la réalise, la valide, en répond. Demande conseil à son délégué à la protection des données (DPO) s'il en a un.
Partenaire (sous-traitant)	Aide et fournit l'information ; rassemble ce qui vient de l'éditeur
Éditeur (sous-traitant ultérieur)	Fournit la documentation technique de la plateforme et la liste de ses propres prestataires
DPO du client	Conseille et vérifie l'exécution de l'analyse

Le guide du sous-traitant de la CNIL (septembre 2017) est explicite : la réalisation de l'AIPD « ne relève donc pas de votre responsabilité », mais vous devez aider votre client et lui fournir toute l'information nécessaire, et cette assistance doit être prévue au contrat.

Le dossier à remettre à votre client

La CNIL indique le contenu minimal d'une AIPD : description des opérations et des finalités, évaluation de la nécessité et de la proportionnalité, évaluation des risques, mesures prévues. Le client écrit les deux parties qui relèvent de ses choix. Pour le reste, préparez un dossier type par plateforme :

description du fonctionnement : ce que voit le visiteur, où partent ses messages, ce qui est conservé et où ;
liste des sous-traitants de toute la chaîne, avec leurs lieux de traitement (voir le sous-traitant ultérieur) ;
transferts hors de l'Union européenne et leur encadrement (voir les transferts) ;
réglages de conservation possibles (voir la durée de conservation) ;
mesures de sécurité : accès, chiffrement, journalisation, sauvegardes ;
moyens de répondre aux demandes des visiteurs : retrouver, extraire, effacer une conversation ;
procédure en cas de violation de données.

Ce dossier sert à chaque client concerné. Mettez-le à jour quand la plateforme ou ses sous-traitants changent.

Si le risque reste élevé

Selon la CNIL, l'AIPD doit lui être transmise notamment s'il apparaît que le risque résiduel reste élevé malgré les mesures prévues. C'est au client de le faire. La CNIL met aussi à disposition un logiciel libre, PIA, pour conduire et formaliser l'analyse.

Cette page est une information générale. Pour décider si l'analyse s'impose et la conduire, votre client s'appuie sur son DPO ou sur un avocat.