# Vers une méthode pour l'analyse d'impact relative à la protection des données : Comprendre et interpréter les obligations du RGPD

Dariusz Kloza, Niels van Dijk, Simone Casiraghi, Sergi Vazquez Maymir, Sara Roda, Alessia Tanas, Ioulia Konstantinou

► To cite this version:

Dariusz Kloza, Niels van Dijk, Simone Casiraghi, Sergi Vazquez Maymir, Sara Roda, et al. Vers une méthode pour l'analyse d'impact relative à la protection des données : Comprendre et interpréter les obligations du RGPD. 2019. [hal-03334063](https://hal.science/hal-03334063v1)

HAL Id: hal-03334063

https://hal.science/hal-03334063v1

Preprint submitted on 3 Sep 2021

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons CC BY-SA 4.0 - Attribution - ShareAlike - International
License
# Vers une méthode pour l'analyse d'impact relative à la protection des données : Comprendre et interpréter les obligations du RGPD

d.pia.lab Note de Politique N° 1/2019

Dariusz KLOZA, Niels VAN DIJK, Simone CASIRAGHI, Sergi VAZQUEZ MAYMIR, Sara RODA, Alessia TANAS et Ioulia KONSTANTINOU

Laboratoire bruxellois pour l'analyse d'impact relative à la protection des données et de la vie privée (d.pia.lab)

La présente note de politique pose les fondements d'une méthode pour la réalisation d'un processus d'analyse d'impact relative à la protection des données (AIPD) dans l'Union européenne (UE). Premièrement, elle propose, comme condition préalable, une méthode générique qui – après avoir été adaptée au contexte particulier – est destinée à être utilisée dans plusieurs domaines de pratique, tels que l'environnement, le développement technologique ou la réglementation (Section 2). Ensuite, en partant de cette méthode générique et en interprétant les obligations du Règlement Général sur la Protection des Données (RGPD), elle jette les bases d'une méthode spécifique pour effectuer des processus d'AIPD dans l'UE, laquelle devrait également être adaptée au contexte (Section 3). La présente note de politique vise plus particulièrement à préciser deux aspects fondamentaux de cette méthode spécifique, qui jusqu'à présent se sont avérés être les plus contentieux. Il s'agit d'une part des techniques d'évaluation (plus spécifiquement, l'évaluation de la nécessité et de la proportionnalité, et l'évaluation des risques), et d'autre part de l'implication des parties prenantes (y compris la participation publique) dans le processus de la prise de décision. La section 4 offre un résumé des conclusions et préconise davantage d'orientations, de précisions et d'adaptations. La présente note de politique s'adresse principalement aux décideurs politiques qui développent les méthodes d'analyse d'impact, aux praticiens qui adaptent ces méthodes au contexte dans lesquelles celles-ci sont utilisées et aux experts qui mettent en œuvre le processus d'analyse conformément à ces méthodes.

# 1 INTRODUCTION

## 1.1 CONTEXTE

Le Règlement Général sur la Protection des Données (RGPD, ou le Règlement) est le principal instrument du cadre juridique réformé relatif à la protection des données personnelles dans l'Union européenne (UE). Le Règlement met en avant une pléthore de nouvelles solutions qui visent, inter alia, assurer « un niveau cohérent et élevé de protection des personnes physiques » (Considérant 10) lorsque leurs données à caractère personnel sont traitées. Parmi ces nouvelles solutions figure l'obligation du responsable du traitement d'effectuer une analyse d'impact relative à la protection des données (AIPD) préalablement au processus de traitement des données à caractère personnel. Ce processus est nécessaire chaque fois que les opérations de traitement des données concernées sont susceptibles d'engendrer « un risque élevé pour les droits et libertés des personnes physiques » (Article 35(1)). Il vise en outre à « assurer la protection des données à caractère personnel et à apporter la preuve du respect du [...] règlement » (Article 35(7)(d)).

L'AIPD constitue une forme d'analyse d'impact (AI) et – dans un sens plus large – une variante d'une étude d'impact sur la vie privée (EIVP). De manière générale, une analyse d'impact est une technique d'évaluation utilisée pour étudier les éventuelles conséquences d'une initiative sur une préoccupation ou des préoccupations sociétale(s) pertinentes (c.-à-d. une question ou des questions d'intérêt ou d'importance). Elle étudie notamment si cette initiative présente un danger pour ces préoccupations et permet ensuite de prendre une décision bien informée sur l'opportunité et les conditions de mise en œuvre de l'initiative en question. A ce titre, elle constitue en premier lieu un moyen pour protéger ces préoccupations.

L'obligation d'effectuer un processus de l'AIPD reflète l'approche fondée sur le risque, qui est utilisée pour la protection des données à caractère personnel dans le cadre juridique réformé de l'UE, et souligne le renforcement du principe de la responsabilité dans celui-ci (Article 5(2)). En s'appuyant sur l'expérience de techniques d'évaluation dans d'autres domaines de pratique (tels que les analyses d'impact en matière d'environnement, de technologie ou de réglementation), on s'attend à ce que l'AIPD puisse devenir un vecteur puissant, assurant le respect et la mise en application de (la loi relative à) la protection des données personnelles.

En parallèle, le processus de l'AIPD est progressivement imposé dans d'autres instruments du cadre juridique UE relatif à la protection des données personnelles. Outre le RGPD, la Directive 2016/680 relative à la protection des données à caractère personnel en matière pénale (Article 27), le Règlement 2018/1715 relatif à la protection des données à caractère personnel traitées par les institutions, les organes et les organismes de l'Union (Articles 39 et 89), et la Directive 2019/1024 concernant les données ouvertes et la réutilisation des informations du secteur public (Considérant 53), présentent également des obligations juridiquement contraignantes imposant la réalisation du processus de l'AIPD. La proposition du Règlement « vie privée et communication électroniques », si adoptée dans sa version actuelle, exigerait aussi de mener un processus de l'AIPD dans certains cas (Article 6). (Antérieurement, l'UE a essayé de mettre en place deux politiques facultatives d'EIVP et d'AIPD, notamment pour les applications d'identification par radio fréquence
(« RFID ») et les « réseaux intelligents ».) En parallèle, la « Convention 108 » modernisée du Conseil de l'Europe a donné un mandat légal pour une obligation similaire (Article 10(2)). Hors de l'Europe, d'autres formes d'EIVP et d'AIPD ont été mises en place, entre autres en Australie, au Canada, au Japon, en Afrique du Sud, en Corée du Sud, aux États-Unis et en Nouvelle-Zélande. En même temps, des organisations internationales, telles que le Comité International de la Croix Rouge, imposent des processus d'impact dans leurs règlements intérieurs.

Cette obligation juridiquement contraignante de procéder à un processus de l'AIPD dans l'UE soulève un certain nombre de questions, suscitées, entre autres, par de nouveaux concepts fondamentaux sur lesquels l'AIPD est basée (tels qu'un risque pour un droit), par un manque de précision ponctuel de la terminologie utilisée dans les instruments juridiques (tel que « grande échelle » ou « systématique »), et par des amendes relativement élevées pour le non-respect et les mauvaises pratiques. Le fait que seuls les aspects fondamentaux de l'AIPD ont été spécifiés laisse une grande souplesse au détriment de la sécurité juridique, et demande de la sorte des orientations normatives ainsi que des orientations en matière d'interprétation. (Au moment de décider sur la proposition du cadre juridique reformé relatif à la protection des données personnelles, la Commission européenne a désigné cette approche par le terme « ancrage légal », indiquant ainsi que le législateur devrait uniquement spécifier les éléments strictement nécessaires. Toute spécification supplémentaire, si nécessaire, devrait être apportée par les secteurs concernés, par exemple les secteurs industriels ou publics. Le législateur n'était supposé intervenir que lorsque ces efforts échouaient ou étaient insuffisants.) En 2017, le Groupe de travail Article 29 a émis des lignes directrices de haut niveau concernant l'AIPD dans l'UE ainsi que sur la détermination si une opération de traitement de données est « susceptible d'engendrer un risque élevé » ou non. Si les lignes directrices spécifient certains aspects relatifs au cadre et à la méthode de l'analyse d'impact (p.ex. l'analyse de seuil), elles traitent d'autres aspects de manière superficielle (p.ex. l'évaluation de la nécessité et de la proportionnalité, ou l'implication des parties prenantes). Au stade actuel, le monde académique et professionnel n'a pas encore apporté beaucoup de précisions non plus. L'un de ces aspects concerne la méthode, c'est-à-dire un ensemble d'étapes pour procéder à l'analyse d'impact. La présente note de politique est consacrée à ce sujet.

## 1.2 CONTEXTE

L'« architecture » d'une analyse d'impact repose en général sur deux éléments principaux, le « cadre » et la « méthode ». Le cadre est une « ossature » ou les modalités organisationnelles de quelque chose, ce qui, dans le présent contexte, concerne la politique de l'analyse d'impact ; il définit et décrit également les conditions et les principes de celle-ci. La méthode est alors un « ensemble ordonné de manière logique de principes, de règles, d'étapes permettant de parvenir à un résultat », et concerne la pratique de l'analyse d'impact ; elle définit les étapes consécutives et/ou itératives qui doivent être parcourues pour réaliser un tel processus. Une méthode correspond à un cadre et peut être considérée comme un reflet pratique de celui-ci. Cette « architecture » est souvent complétée de lignes directrices (telles que des manuels) et de modèles. Ils apportent davantage d'explications sur le processus d'analyse, et aident également à structurer l'ensemble du processus et à établir un bilan final (un rapport) pour documenter celui-ci.

Il existe déjà de nombreux cadres et méthodes d'analyse d'impact qui sont utilisés dans de nombreux domaines de pratique, mais dont l'applicabilité et la qualité sont très inégales. La nécessité constante de créer de nouveaux cadres et méthodes est l'une des conséquences du principe de la réceptivité de l'analyse d'impact, ce qui implique que le cadre et la méthode doivent être optimisés en permanence pour que l'analyse d'impact puisse mieux servir ses objectifs (en tirant des leçons de ses propres expériences ou de l'expérience d'autres techniques d'évaluation) ; mieux répondre aux changements sociétaux ; et donner force à de nouveaux domaines de pratique relatifs à l'analyse d'impact, tels que l'« analyse d'impact algorithmique » récemment proposée.

## 1.3 STRUCTURE

Dans la présente note de politique, le d.pia.lab pose les fondements d'une méthode spécifique pour procéder à des AIPD dans l'UE. Elle propose, comme condition préalable, une méthode générique pour la réalisation d'un processus d'analyse d'impact, destinée à être utilisée – lorsqu'elle est adaptée à un contexte particulier (p.ex. le secteur industriel ou public) – dans plusieurs domaines de pratique, tels que l'environnement, le développement technologique ou la réglementation (Section 2).

La méthode générique reflète un cadre composé de 16 principes permettant la réalisation d'une analyse d'impact dans plusieurs domaines de pratique, lequel a été développé dans la dernière note de politique (2017) du d.pia.lab. La deuxième méthode est une méthode spécifique au domaine de la protection des données personnelles et concerne – plus concrètement – les processus de l'AIPD dans l'UE. Celle-ci est une interprétation des dispositions du RGPD à la lumière de la méthode générique (Section 3). Cette méthode doit également être adaptée au contexte d'utilisation. En élaborant cette deuxième méthode, le d.pia.lab s'est concentré sur des questions particulièrement contentieuses, telles que l'implication des parties prenantes dans le processus de la prise de décision, et les questions pas assez débattues qui jusqu'à présent se sont avérées difficiles dans la pratique, telles que l'évaluation de la nécessité et de la proportionnalité, et l'évaluation des risques en matière des droits et des libertés de personnes. Ces deux méthodes sont fondées sur une évaluation et une analyse comparative critique des cadres et méthodes déjà existants, et sur la mise en œuvre de ceux-ci dans plusieurs domaines de pratique, notamment en matière de vie privée, de protection des données personnelles, de développement technologique, d'environnement, de règlementation et des droits humains.

La présente note s'adresse principalement à deux destinataires bien spécifiques. Etant donné que les méthodes d'analyse d'impact doivent être adaptées au contexte d'utilisation, les premiers destinataires sont les décideurs politiques, plus particulièrement les autorités de protection des données (APDs) au niveau de l'UE et des États Membres, chargées de développer des méthodes d'AIPD qui sont adaptées à leur contexte national. La présente note de politique s'adresse également aux parties prenantes qui adaptent ces méthodes d'AIPD à un contexte d'utilisation particulier et – finalement – aux responsables du traitement de données qui effectuent le processus d'analyse. En même temps, la méthode générique pour la réalisation d'analyses d'impact est supposée servir dans plusieurs domaines où l'analyse d'impact est appliquée.

# 2 UNE MÉTHODE GÉNÉRIQUE POUR L'ANALYSE D'IMPACT

La méthode générique proposée est basée sur une analyse comparative et critique des étapes récurrentes des méthodes d'analyse appliquées dans plusieurs domaines, enrichie par l'expérience acquise par le d.pia.lab. En parallèle, la méthode générique reflète le cadre de 16 principes, présenté dans la note de politique No. 1/2017 du d.pia.lab.

La méthode générique pose les fondements de méthodes spécifiques pour la réalisation d'un processus d'analyse d'impact dans plusieurs domaines. La méthode générique comporte dix étapes, dont six étapes consécutives, trois étapes exécutées tout au long du processus et une étape réalisée suite au processus. Toutes ces étapes sont regroupées en cinq phases. Certaines de ces étapes suivent
une séquence logique, alors que d'autres sont des fonctions des principes intégrés dans le cadre. Il s'agit notamment des étapes suivantes :

## Phase I : Préparation du processus d'analyse

1. **Vérification préliminaire (analyse de seuil).** Cette étape détermine s'il y lieu ou non de procéder à une analyse d'impact pour une initiative prévue ou une série d'initiatives similaires dans un contexte donné. La vérification est basée sur une description initiale déjà suffisamment détaillée de l'initiative mentionnée, tant au niveau contextuel que technique. La détermination se fait en fonction des critères de seuil tant internes (c.-à-d. les politiques appliqués au sein de l'organisation même) qu'externes (c.-à-d. les critères définis dans la loi ou dans d'autres obligations réglementaires), ou encore en fonction de critères ponctuels, tels que la pression exercée par l'opinion publique. Si un processus d'analyse n'est pas nécessaire, le processus est alors terminé par une déclaration motivée indiquant l'absence d'impact significatif.

2. **Cadrage.** Cette étape, basée sur la description initiale, permet d'identifier :
   a) une ou plusieurs préoccupations sociétales qui peuvent être affectées par une initiative prévue, telles que les préoccupations relatives à la vie privée, la protection des données personnelles, l'éthique (appliquée), l'environnement naturel (biophysique) ou humain, mais aussi la législation ou autres exigences réglementaires y afférentes ; ces préoccupations constituent la référence du processus d'analyse ;
   b) les parties prenantes susceptibles d'avoir un impact sur, ou d'être affectées, concernées ou intéressés par l'(les) initiative(s) prévue(s), ou qui en possèdent les connaissances, ainsi que le niveau de leur implication ;
   c) les techniques (les méthodes au sens strict) pour analyser l'impact et l'implication des parties prenantes, y compris la participation publique, dans les processus de la prise de décision, lesquelles seront utilisées tout au long du processus d'évaluation ; et
   d) les autres techniques d'évaluation, hors les processus d'analyse d'impact, qui pourraient être nécessaires afin d'assurer, par exemple, l'exhaustivité des informations utilisées dans le processus de la prise de décision, tel que l'évaluation de technologie ou l'évaluation des incidences sur l'environnement.

Il n'est pas toujours possible d'identifier tous ces éléments et toutes ces personnes au début du processus d'analyse, et il se peut qu'une révision périodique de leur identification soit nécessaire.

3. **Planification et préparation.** Cette étape définit les termes de référence pour la réalisation du processus d'analyse. Ces termes comprennent entre autres :
   a) leurs objectifs ;
   b) les critères pour la recevabilité des impacts négatifs ;
   c) les ressources nécessaires en termes de temps, d'argent, d'effectifs, de connaissances, d'expertise, de locaux et d'infrastructure ;
   d) les procédures et les échéanciers pour le processus d'évaluation ;
   e) l'évaluateur ou l'équipe d'évaluateurs (internes ou externes), leurs rôles et responsabilités, la garantie de leur indépendance professionnelle ; et
   f) la continuité du processus d'analyse.

## Phase II: Évaluation

4. **Description.** Cette étape, basée sur la description initiale (voir Étape 1), fournit un rapport détaillé en deux volets sur l'initiative prévue. Il y tout d'abord une *description contextuelle* qui comporte en général :
   a) un aperçu de l'initiative prévue et de l'organisation initiatrice ;
   b) le contexte du la mise en œuvre de l'initiative ;
   c) la nécessité de l'initiative ;
   d) les éventuelles interférences avec une (des) préoccupation(s) sociétale(s) ; et
   e) les avantages et inconvénients attendus.

Deuxièmement, cette étape fournit une *description technique*. Dans le cas d'une évaluation des incidences sur l'environnement (EIE), la description présente par exemple les éléments de l'environnement biophysique qui sont affectés ; et dans le cas d'AIPD, les catégories des données à caractère personnel et leurs flux au sein du processus.

5. **Évaluation des impacts.** Cette étape évalue les impacts de l'initiative prévue conformément aux techniques préalablement sélectionnées. Ces impacts concernent les préoccupations sociétales susceptibles d'être affectées par l'initiative prévue, ainsi que les parties prenantes qui sont majoritairement externes à l'organisation initiatrice. En général, cette évaluation comprend au moins une identification, une analyse et une évaluation détaillées des impacts. Les techniques d'évaluation peuvent couvrir un large éventail d'approches, allant de l'analyse de risque (gestion qualitative et/ou quantitative du risque), de l'analyse de scénario (planification à l'aide de scénarios) et de la prospective technologique, à l'analyse coûts/avantages et l'analyse des forces, faiblesses, opportunités et menaces (« SWOT »), en passant par le contrôle de la conformité juridique et réglementaire, les techniques d'interprétation juridiques et de l'évaluation de la nécessité et de la proportionnalité.

## Phase III : Recommandations

6. **Recommandations.** Afin de minimiser les impacts négatifs de l'initiative prévue et d'en maximiser autant que possible les impacts positifs, cette étape propose des mesures concrètes et détaillées (contrôles, garanties, solutions, etc.) y compris un aperçu des personnes auxquelles ces mesures sont destinées, ainsi que les priorités et les échéanciers de traitement. L'évaluateur justifie la distinction entre les impacts « négatifs » et « positifs » étant donné que cette distinction est contextuelle et subjective. L'évaluateur fait un bilan des mesures déjà mises en œuvre. Une fois l'analyse terminée, c'est sur cette base que la direction de l'organisation initiatrice prendra une décision par rapport au déploiement de l'initiative et aux conditions y relatives. (L'organisation initiatrice peut cependant procéder à une mise en œuvre progressive des recommandations, toujours dans le contexte du processus d'évaluation.) En principe, une initiative est annulée si les impacts négatifs sont inacceptables. Mais la réalisation d'une telle initiative serait exceptionnelle et exigerait une justification motivée.

## Phase IV : Étapes continuelles

7. **Implication des parties prenantes, y compris la participation publique, dans le processus de la prise de décision.** Cette étape est une étape permanente et transversale qui se poursuit tout au long du processus, et dans laquelle les parties prenantes, y compris le public et/ou leurs représentants, prennent part au processus d'analyse.
Dans le sens large du terme, on entend par « partie prenante » toute personne qui a un intérêt dans quelque chose, qu'elle s'en rende compte ou non, et que l'intérêt soit directement exprimé ou non. Dans le contexte de l'analyse d'impact, la partie prenante est une personne qui est (à l'heure actuelle) ou pourrait (dans l'avenir) être affectée, concernée ou intéressée par l'initiative prévue, de manière (potentiellement) positive et/ou négative. En même temps, une partie prenante peut être une personne qui possède une connaissance et une expertise spécifiques par rapport à l'initiative, et est, dans ce cas, un expert. Le concept de « partie prenante » est donc non-restrictif et comprend aussi bien le public (les non-spécialistes, etc.), les décideurs, les experts, etc. Les parties prenantes peuvent être des personnes individuelles ou des entités collectives, que celles-ci soient reconnues formellement (juridiquement) ou non ; elles peuvent donc être des groupes sociaux, des communautés, des nations, le public dans le sens large, des organisations de la société civile, etc. Il existe un grand nombre de (groupes de) parties prenantes et celles-ci peuvent former des groupes internes (p.ex. des employés, des comités de travail) ou externes (p.ex. des consommateurs ou des organisations non-gouvernementales) ; être primaires (c.-à-d. les parties ayant un intérêt direct par rapport à l'initiative telles que les investisseurs) ou secondaires (c.-à-d. les parties ayant un intérêt indirect mais influent, telle que l'état) ; ou être classées par leurs attributs : pouvoir, légitimité et urgence.

L'implication des parties prenantes fait partie intégrante du processus d'évaluation et n'en sera exclue que dans des situations exceptionnelles. Si l'implication des parties prenantes n'est pas nécessaire, ce choix sera motivé et documenté. Si l'implication des parties prenantes est obligatoire, les parties prenantes habilitées disposent de recours légaux si leur implication est absente ou insuffisante, proportionnellement au niveau d'implication poursuivie dans le processus d'évaluation en question. En tout cas, l'implication des parties prenantes ne compromet pas les secrets légitimes (p.ex. les secrets d'état ou les secrets commerciaux), ni n'entraîne des conséquences négatives pour les participants (p.ex. exploitation).

Les niveaux d'implication des parties prenantes couvrent plusieurs degrés : (a) information : les parties prenantes sont simplement informées ou mises au courant d'une initiative prévue (niveau bas) ; dialogue et consultation : l'avis des parties prenantes est demandé et pris en considération (niveau moyen) ; voire même (c) la codécision entre les parties prenantes et l'organisation initiatrice sur le déploiement de l'initiative et, par la suite, partenariat avec les parties prenantes durant la mise en œuvre (niveau élevé).

Il existe de nombreuses techniques visant l'implication des parties prenantes, telles que les bulletins d'informations, les entretiens, les questionnaires et les enquêtes, les groupes de discussion, les tables rondes, les ateliers et les panels de citoyens, etc. ainsi que des techniques structurées telles que les méthodes « World café » ou « Delphi ». La technique appropriée, ou une combinaison de techniques, est sélectionnée en fonction du niveau d'implication désirée, de l'initiative prévue, du contexte du déploiement de l'initiative et des ressources disponibles auprès de l'organisation initiatrice.

L'implication des parties prenantes peut procurer de nombreux avantages tant au niveau du processus d'analyse (p.ex. renforcement de la qualité, de la crédibilité et de la légitimité) qu'au niveau du résultat (p.ex. un processus de la prise de décision mieux informé). Mais ceux-ci doivent être mis en contraste avec les inconvénients, qui comprennent des questions concernant la représentativité (surreprésentation ou sous-représentation), l'impartialité (p.ex. manipulation, techniques de propagande telles que l'« astroturfing »), la réticence, les barrières de communication, le conflit entre les intérêts publics et privés, et la mobilisation de ressources considérables dans tout le processus d'implication des parties prenantes.

8) **Documentation.** Cette étape est une étape permanente et transversale qui se poursuit tout au long du processus, pendant laquelle sont produits des documents compréhensibles, sous forme écrite ou sous tout autre forme pérenne, faisant un bilan de toutes les activités qui ont été entreprises pendant le processus d'analyse. Cette étape comprend la préparation du rapport final relatif au processus d'analyse (ou une conclusion d'absence d'impact significatif, le cas échéant). Toute la documentation relative à un processus d'analyse déterminé, de préférence sous format électronique, peut être rendue accessible au public, être centralisée, et/ou présentée pour vérification à la demande, mais toujours en respectant la confidentialité légitime.

9) **Contrôle de qualité.** Cette étape est une étape permanente et transversale qui se poursuit tout au long du processus ; elle permet de vérifier la conformité à une norme de performance, soit en interne (p.ex. à travers un suivi de progrès ou une révision par l'organisation initiatrice), soit en externe (p.ex. à travers un audit par une autorité de réglementation indépendante, ou par un tribunal), soit en interne et en externe. Le contrôle de qualité peut être réalisé pendant et/ou après le processus d'analyse.

## Phase V : Révision

10) **Révision.** Pendant cette étape, il est décidé s'il faut refaire le processus, en partie ou dans son intégralité. Cette étape peut être effectuée à chaque modification du l'initiative prévue (avant ou après son déploiement), ou à chaque changement du contexte dans lequel l'initiative sera ou a été déployée. Cette étape assure également la continuité du processus d'analyse, par exemple lorsque l'initiative est transférée à une autre organisation.

La méthode pour l'analyse d'impact d'une initiative sur une ou plusieurs préoccupations sociétales telle que détaillée ci-dessus, est une méthode générique et doit être adaptée à la spécificité et aux besoins d'un domaine de pratique déterminé, des parties prenantes (y compris le public), et du contexte d'utilisation. Par exemple, l'analyse d'impact dans le domaine de la protection des données personnelles dans l'UE demande une approche spécifique, tout au moins, pendant les étapes **Vérification préliminaire** (critères de seuil), **Cadrage** (p.ex. établissement d'une liste des préoccupations sociétales), **Évaluation des impacts** (p.ex. détermination des techniques d'évaluation et établissement d'une liste d'impacts éventuels), **Implication des parties prenantes, y compris la participation publique, dans le processus de la prise de décision** (p.ex. identification des parties prenantes et des techniques pour inciter leur implication) et **Recommandations**.

## LES DISPOSITIONS RGPD PERTINENTES

### Article 35

1. Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires. [...]

7. L'analyse contient au moins :

a) une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement ;
b) une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ;

c) une évaluation des risques pour les droits et libertés des personnes concernées [...] ; et

d) les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées. [...]

9. Le cas échéant, le responsable du traitement demande l'avis des personnes concernées ou de leurs représentants au sujet du traitement prévu, sans préjudice de la protection des intérêts généraux ou commerciaux ou de la sécurité des opérations de traitement.

### Article 36

1. Le responsable du traitement consulte l'autorité de contrôle préalablement au traitement lorsqu'une analyse d'impact [...] indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque.

2. Lorsque l'autorité de contrôle est d'avis que le traitement envisagé [...] constituerait une violation du présent règlement, en particulier lorsque le responsable du traitement n'a pas suffisamment identifié ou atténué le risque, l'autorité de contrôle fournit par écrit [...] un avis écrit au responsable du traitement et, le cas échéant, au sous-traitant, et peut faire usage de [ses] pouvoirs [...].

## 3 UNE MÉTHODE POUR L'ANALYSE D'IMPACT RELATIVE À LA PROTECTION DES DONNÉES DANS L'UNION EUROPÉENNE

La méthode spécifique pour la réalisation d'un processus de l'AIPD exigée par le RGPD dans l'UE, dont vous trouverez la description ci-dessous, a été interprétée sur base des dispositions formulées de manière très détaillée dans les Articles 35-36 du RGPD et à la lumière de la méthode générique. Le RGPD oblige le responsable du traitement à effectuer l'analyse d'impact, et celui-ci pourra, le cas échéant, se faire aider par le sous-traitant. C'est néanmoins le responsable du traitement qui est tenu responsable du processus d'analyse.

Le Règlement prévoit également sept étapes qui doivent être entreprises, notamment :

1) **Vérification préliminaire (analyse de seuil)** : afin de déterminer si le processus de l'AIPD est requis ou non par la loi, il est nécessaire d'examiner les opérations de traitement de données envisagées sur base de la description initiale de celles-ci et d'une évaluation rudimentaire des risques, et de les analyser ensuite au regard des six critères suivants :

- **Critère 1 – probabilité de risque élevé (général)** : au niveau le plus général, le Règlement exige de procéder à un processus de l'AIPD pour le traitement d'opérations qui sont susceptibles d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, tout en tenant compte de quatre critères qualitatifs, notamment la nature, la portée, le contexte et les finalités du traitement des données à caractère personnel. Plus spécifiquement, les opérations de traitement de données impliquant de nouvelles technologies constituent un facteur déclencheur pour procéder à un processus de l'AIPD (Article 35(1)). Or, ces critères ne sont pas définis de manière précise. Ceux-ci pourraient comprendre, par exemple, le traitement de catégories particulières de données à caractère personnel, telles que les données relatives à des condamnations pénales et à des infractions, les données relatives aux mesures de sécurité ou encore les données biométriques (c.-à-d. la nature). Ils pourraient aussi concerner la quantité des données traitées, la couverture géographique et le nombre de personnes affectées (c.-à-d. la portée), l'utilisation d'un certain type de technologie ou le domaine d'utilisation (p.ex. être accessible au public), (c.-à-d. le contexte) ; ou encore les données à des fins de profilage ou de prise de décision automatique (c.-à-d. la finalité) (voir Considérant 91). En 2017, dans son avis relatif à la manière de déterminer si le traitement est susceptible ou non d'engendrer un risque élevé, le Groupe de travail Article 29 a identifié neuf critères qui devraient être considérés lorsqu'il faut déterminer le niveau élevé ou non d'un risque ; de tels critères sont par exemple la mise en correspondance ou la combinaison potentielle d'ensembles de données, ou le traitement des données à caractère personnel de personnes vulnérables. Il appartient cependant au responsable du traitement de déterminer si le niveau de risque est élevé.

- **Critère 2 – probabilité de risque élevé (énumération)** : le Règlement prévoit trois types d'opérations de traitement de données pour lesquels la réalisation d'un processus de l'AIPD est nécessaire parce que ces opérations sont susceptibles d'engendrer un risque élevé pour les droits et les libertés de personnes physiques. En d'autres mots, les opérations suivantes de traitement de données sont considérées par la loi comme ayant un niveau de risque élevéée. Cette énumération n'est pas exhaustive :

- « l'évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon similaire » ;

- le traitement à grande échelle de catégories particulières de données ou de données à caractère personnel relatives à des condamnations pénales et à des infractions ; et

- « la surveillance systématique à grande échelle d'une zone accessible au public » (Article 35(3)).

- **Critère 3 – probabilité de risque élevé (énumération positive par les autorités de protection des données)** : une autorité de protection des données (APD), nationale ou régionale, est habilitée à déterminer, dans le champ de ses propres compétences, une liste des types d'opérations de traitement pour lesquelles un processus d'AIPD est requis (Article 35(4)).

- **Critère 4 – probabilité de risque élevé (énumération négative par les APDs)** : la même autorité peut déterminer, dans le champ de ses propres compétences, une liste d'autres types d'opérations de traitement pour lesquelles un processus d'AIPD n'est pas requis (Article 35(5)). Dans la mesure où ces deux listes impliquent des opérations de traitement de données transfrontalières, l'APD doit les communiquer, en application du mécanisme de contrôle de cohérence, au Comité Européen de la Protection des Données (CEPD) en vue d'obtenir son avis (Article 35(4)-(6)). Le CEPD a émis de tels avis depuis 2018.

- **Critère 5 – évaluation réglementaire préalable** : sauf décision contraire des États Membres, le processus d'AIPD n'est plus requis pour les données à caractère personnel qui doivent être traitées pour respecter une obligation légale (Article 6(1)(c)) ou exercer une mission d'intérêt public (Article 6(1)(e)), lorsque le traitement a une base juridique dans le droit de l'UE ou le droit de l'État Membre, et que le traitement a déjà fait l'objet d'une autre analyse d'impact effectuée dans le cadre de l'adoption de cette base juridique, et pour autant que cette analyse d'impact remplisse les conditions stipulées dans le RGPD (Article 35(10)).
- *Critère 6 – dérogations pour des professions spécifiques* : si les opérations de traitement concernent « les données à caractère personnel de patients ou de clients par un médecin, un autre professionnel de la santé ou un avocat », ces opérations ne sont pas considérées comme étant à grande échelle (voir aussi Article 35(3)(b)) ; pour ces types d'opérations de traitement, il n'est donc pas nécessaire d'effectuer un processus d'AIPD (Considérant 91).

Si l'un des trois premiers critères est rempli, il est obligatoire de procéder à un processus d'AIPD. En revanche, si l'un des trois derniers critères est rempli, le responsable du traitement est dispensé d'effectuer une analyse d'impact.

2) *Description* : le Règlement exige que l'analyse commence par une « description systématique des opérations de traitement envisagées » (Article 35(7)(a)). Une telle description contient plus spécifiquement :

a) une description contextuelle des opérations de traitement de données, plus spécifiquement leur nature, portée, contexte et finalité, l'intérêt légitime du responsable (si d'application) et des parties prenantes impliquées (les personnes concernées, les responsables du traitement, les sous-traitants, les tiers et les autorités publiques) ;

b) une description technique contenant les flux des données à caractère personnel et – éventuellement – une visualisation de ceux-ci.

La description des opérations de traitement envisagées peut être basée sur la description initiale utilisée pour déterminer la nécessité d'effectuer ou non une analyse d'impact (voir Étape 1).

3) *Évaluation de l'opération de traitement envisagée, ou d'un ensemble d'opérations similaires* : le Règlement requiert l'utilisation, consécutivement ou simultanément, d'au moins deux techniques (méthodes au sens strict), notamment l'évaluation de la nécessité et de la proportionnalité, et l'évaluation du risque. Les deux techniques constituent, dans une large mesure, des nouveautés dans la loi relative à la protection des données personnelles. D'après l'approche fondée sur l'« ancrage légal », leur détermination dans le RGPD est générique et le Règlement ne spécifie nulle part comment ces techniques doivent être mises en œuvre.

a) L'évaluation de « la nécessité et de la proportionnalité des opérations de traitement au regard de [leurs] finalités » (Article 35(7)(b)).

L'évaluation de la nécessité et de la proportionnalité réfère au respect des principes de la protection des données personnelles (Article 5(1)). Elle concerne plus spécifiquement le principe de la limitation de la finalité. Cela veut dire qu'elle s'interroge d'abord sur la finalité de l'opération du traitement des données et sur le fait si celle-ci « ne peut être raisonnablement atteinte par d'autres moyens » (Considérant 39) et si les données à caractère personnel sont « collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées » ultérieurement d'une manière incompatible avec ces finalités (Article 5(1)(b)). Cette évaluation concerne également le principe de la licéité du traitement (Article 6) ainsi que les principes relatifs à la minimisation des données, à l'exactitude et à la limitation de la conservation. Autrement dit, elle pose la question si les données à caractère personnel sont « traitées de manière licite, loyale et transparente », « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités », si elles sont « exactes et, si nécessaire, tenues à jour » et qu'elles ne sont pas conservées plus longtemps que nécessaire (Articles 5(1)(a)-(e)).

Cette évaluation est effectuée sur base d'une analyse factuelle, fondée sur des preuves suffisantes, clairement décrites et vérifiables. Le contenu de l'évaluation de la nécessité et de la proportionnalité diffère selon qu'il s'agit du secteur privé ou du secteur public. En outre, le secteur public impose une différentiation plus poussée entre le travail législatif et l'application de la loi.

b) L'évaluation des « risques pour les droits et libertés des personnes concernées » (Article 35(7)(c)).

Dans le contexte d'AIPD, l'évaluation du risque fait typiquement référence à une identification, une analyse et une évaluation détaillées des potentielles conséquences négatives futures des opérations de traitement, et, plus concrètement, des préjudices que celles-ci pourraient causer. L'analyse concerne les « dommages physiques, matériels ou un préjudice moral » et comprend, par exemple, la discrimination, le vol ou l'usurpation d'identité, la perte financière, une atteinte à la réputation, une perte de confidentialité, un renversement non autorisé du processus de pseudonymisation, tout autre dommage économique ou social important, ainsi que le traitement non-autorisé de données à caractère personnel sensible relatives à des personnes physiques vulnérables, en particulier les enfants (Le Considérant 75 fournit une liste plus longue d'exemples de ce type de préjudices ; ceux-ci seront identifiées plus en détail au cours de l'analyse d'impact.) C'est au responsable du traitement de déterminer sur base d'une évaluation objective si les opérations de traitement des données comportent un risque et – ensuite – si le niveau de risque est élevé ou non (Considérant 76).

Les risques à évaluer dans le processus de l'AIPD concernent les personnes physiques, y compris les personnes concernées et la société en général, et non pas les responsables ou les sous-traitants du traitement de données. Ces risques se rapportent à l'exercice de droits et de libertés par les particuliers et ne sont donc pas (seulement) des risques de non-conformité. Étant donné la finalité du Règlement, ces risques ont une portée plus large que le seul droit à la protection des données à caractère personnel et s'étendent à d'autres droits et libertés de manière non limitée. (Le Considérant 4 mentionne des droits tels que le respect de la vie privée, le droit à un recours effectif et au accès à un tribunal impartial, la diversité culturelle, religieuse et linguistique, ainsi que des libertés telles que la liberté de pensée, de conscience et de religion, la liberté d'expression et d'information, et la liberté d'entreprise.)

Les risques aux droits et libertés sont essentiellement analysés d'un point de vue qualitatif, en évaluant leur gravité (la magnitude du risque) et leur probabilité (la vraisemblance de leur occurrence, p.ex. faible, moyen ou élevé), mesurés en fonction de leur « origine » et « particularité » (Considérant 84) et « de la nature, de la portée, du contexte et des finalités du traitement » (Considérants 75-76). Certains risques de la protection des données, tels que les risques de sécurité, peuvent être évalués quantitativement (p.ex. en calculant leur gravité et leur probabilité). L'évaluation des risques peut être basée sur l'évaluation initiale utilisée pour déterminer la nécessité d'effectuer ou non une analyse d'impact (voir Étape 1).

4) *Implication des parties prenantes (participation publique) dans le processus de la prise de décision.* Le Règlement prévoit, « le cas échéant », la consultation des personnes concernées ou de leurs représentants au sujet du traitement prévu, tout en respectant les secrets légitimes (c.-à-d. la « protection des intérêts généraux ou commerciaux ou la sécurité des opérations de traitement » (Article 35(9)). La « nécessité » de la consultation ne doit pas se comprendre en ce sens que la consultation est « optionnelle ». Des exceptions peuvent être faites si, par exemple, l'implication des parties prenantes n'apportait pas de nouvelles perspectives, ou impliquerait des efforts disproportionnés par rapport aux résultats. La décision de ne pas impliquer les parties prenantes, ou de s'écarter des résultats d'une telle consultation, est motivée et documentée. En parallèle, un délégué à la protection des données
(DPD), si désigné, est consulté sur demande et dispense des conseils (Articles 35(2) et 39(1)(c)) ; le DPD ne peut cependant effectuer l'analyse d'impact.

5) **Recommandations** : le Règlement requiert que le processus d'analyse se termine par une liste de mesures recommandées, envisagées pour :

a) faire face aux risques, « y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel », et

b) assurer le respect du Règlement, « compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées » (Article 35(7)(d)).

Il faut tenir compte du résultat de l'analyse d'impact « pour déterminer les mesures appropriées à prendre afin de démontrer que le traitement des données à caractère personnel respecte le [...] Règlement » (Considérant 84).

6) **Consultation préalable avec une autorité de contrôle** : le Règlement associe le processus de l'AIPD à la consultation préalable. Dans le cas d'un risque résiduel élevé, c'est-à-dire, lorsque l'analyse d'impact montre qu'il pourrait subsister un risque à niveau élevé même après que le responsable du traitement a mis en œuvre les recommandations issues de l'analyse d'impact, le responsable du traitement est tenu de consulter l'APD préalablement au traitement des données à caractère personnel, conformément à une procédure prescrite (Article 36).

7) **Examen** : « si nécessaire », « le responsable du traitement procède à un examen afin d'évaluer si le traitement est effectué conformément à l'[AIPD] au moins quand il se produit une modification du risque présenté par les opérations de traitement » (Article 35(11)). L'examen peut donc être effectué après une certaine période de temps, à des fins de contrôle, ou lorsqu'il se produit une modification qui rend l'analyse précédent (partiellement ou entièrement) obsolète. Or, le Règlement ne spécifie pas les conséquences d'un tel examen ; étant donné la possibilité d'un changement de risque, il pourrait être nécessaire de reprendre tout ou partie du processus d'analyse.

La méthode spécifique pour la réalisation d'un processus de l'AIPD proposée ci-dessus, pose les fondements pour l'adaptation de cette méthode afin de la faire correspondre à un contexte d'utilisation déterminé, tel que les télécommunications ou les réseaux d'énergie « intelligents », tout en assurant « la protection des données à caractère personnel » et en apportant « la preuve du respect du [...] Règlement » (Article 35(7)(d)).

## LE PROCESSUS DE L'AIPD INTERPRÉTÉ SUR BASE DES ARTICLES 35-36 RGPD

<figure><img src="image_2.png" /></figure>

Selon cette interprétation, le RGPD ne répond pas pleinement aux 10 étapes de la méthode générique. Certaines de ces étapes ne doivent pas nécessairement être réglementées par la loi, mais elles surgissent pour des raisons pragmatiques dans le processus d'analyse. Plus particulièrement, le Règlement ne traite pas l'étape *Cadrage*. (Concrètement, l'étape *Cadrage*, permet de déterminer, par exemple, quels sont les aspects du droit à la protection des données personnelles qui sont susceptibles d'être impactés par l'opération de traitement des données envisagée, et d'identifier qui pourrait être une personne concernée, ou le représentant d'une personne concernée, affectée par une telle opération de traitement.) D'autres étapes de la méthode générique peuvent, dans une large mesure, être interprétées à partir d'autres dispositions du Règlement. En ce qui concerne la *Planification et la préparation*, le Règlement spécifie uniquement que, par exemple, une seule analyse d'impact peut être élargie à un ensemble d'opérations de traitement similaires (Considérant 92) ou que le sous-traitant peut aider le responsable du traitement à effectuer l'analyse d'impact (Article 28(3)(f)). Pour ce qui est de la *Documentation*, un responsable du traitement est, par exemple, tenu de démontrer que le traitement est effectué conformément à la loi (Article 24(1)). En ce qui concerne le *Contrôle de qualité*, par exemple, la mission d'un DPD consiste à contrôler l'exécution de l'analyse d'impact (Article 39(c)), alors que la mission d'une APD consiste à effectuer des audits (Article 58(1)(b)). Par rapport à la méthode générique, le RGPD ajoute cependant une étape supplémentaire, notamment la *Consultation préalable avec une autorité de contrôle*.

## 4 REMARQUES FINALES

Dans la présente note de politique, le d.pia.lab pose les fondements de deux méthodes d'analyse d'impact : la première est une méthode générique qui reflète le cadre de sa note de politique précédente et qui est destinée à constituer une base pour les méthodes d'analyse lesquelles sont adaptées à des domaines de pratique et des contextes d'utilisation spécifiques ; la seconde est une méthode pour réaliser d'un processus de l'AIPD dans l'UE, basée sur la méthode générique et interprétée à partir des exigences du RGPD.
Le processus des AIPD dans l'UE est basé sur un nombre de nouveaux concepts-clés, tels que le risque pour les droits. Mais l'approche fondée sur l'« ancrage légal » fait en sorte que ce processus est plutôt peu réglementé dans le texte de la loi, et qu'il demande donc interprétation et orientation. Par conséquent, le d.pia.lab a tenté d'interpréter la méthode pour la réalisation d'un processus d'AIPD sur base des Articles 35-36 RGPD, en se concentrant sur les questions pas assez débattues ou contentieuses. (Comme certains instruments légaux au sein de l'UE autres que le RGPD exigent la réalisation d'un processus d'AIPD, ces observations peuvent s'appliquer *mutatis mutandis*). Certaines questions, comme celles se rapportant aux techniques utilisées pour l'évaluation de la nécessité et de la proportionnalité, aux analyses de risque pour les droits et libertés des personnes physiques, et à l'implication de parties prenantes, y compris le public, méritent une plus grande attention professionnelle et académique, à laquelle le d.pia.lab souhaite se consacrer dans le futur.

En parallèle, la méthode pour réaliser d'un processus d'AIPD interprétée sur base des exigences du RGPD requiert toujours des orientations, une clarification et une adaptation plus approfondies. Plus spécifiquement, le CEPD, agissant de concert avec les APDs nationales et régionales de l'UE dans le but d'arriver à une plus grande sécurité juridique et de devenir des « centres de référence » pour tous types d'analyses d'impact, est l'organisme le mieux placé pour apporter ce type d'assistance. Dans ce contexte, des modèles pour le processus de l'AIPD, adaptés aux circonstances d'un État Membre déterminé et d'un contexte d'utilisation déterminé (p.ex. le secteur industriel ou public), méritent une attention particulière.

## SÉLECTION DE SOURCES PERTINENTES

* Arnstein Sherry R. (1969) "A Ladder of Citizen Participation," *Journal of the American Institute of Planners*, 35(4), pp. 216-224. doi: 10.1080/01944366908977225.

* De Hert Paul, Dariusz Kloza and David Wright (2012) "Recommendations for a Privacy Impact Assessment Framework for the European Union," Brussels - London. https://piafproject.files.wordpress.com/2018/03/piaf_d3_final.pdf.

* Gellert Raphaël (2018) "Understanding the notion of risk in the General Data Protection Regulation", *Computer Law & Security Review* 34(2), pp. 279-288. doi: 10.1016/j.clsr.2017.12.003.

* Kloza Dariusz, Niels van Dijk, Raphaël Gellert, István Böröcz, Alessia Tanas, Eugenio Mantovani et Paul Quinn (2017) "Analyse d'impact relative à la protection des données dans l'Union européenne : une protection des personnes plus solide en complétant le nouveau cadre juridique," *d.pia.lab Note de Politique* No. 1/2017, VUB: Bruxelles. https://cris.vub.be/files/37820556/dpialab_pb2017_1_final_FR.pdf.

* van Dijk Niels, Raphaël Gellert and Kjetil Rommetveit (2016) "A Risk to a Right? Beyond Data Protection Risk Assessments," *Computer Law & Security Review* 32(2), pp. 286-306. doi: 10.1016/j.clsr.2015.12.017.

* Larousse Dictionnaire de Français; https://www.larousse.fr/dictionnaires/francais-monolingue/.

## AUTRES LECTURES

* Groupe de travail « Article 29 » sur la protection des données (2017) *Lignes directrices concernant l'analyse d'impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est «susceptible d'engendrer un risque élevé» aux fins du règlement (UE) 2016/679*, WP248 rev. 01, Bruxelles. http://ec.europa.eu/newsroom/just/document.cfm?doc_id=48464.

* Organisation internationale de normalisation [ISO] (2018) *Management du risque — Lignes directrices*, ISO 31000:2018, Genève. https://www.iso.org/fr/iso-31000-risk-management.html.

* Jasanoff Sheila (2012) *Science and Public Reason*. London: Routledge. doi: 10.4324/9780203113820.

* European Data Protection Supervisor [EDPS] (2017) *Assessing the necessity of measures that limit the fundamental right to the protection of personal data: A Toolkit*. Brussels. https://edps.europa.eu/sites/edp/files/publication/17-04-11_necessity_toolkit_en_0.pdf.

* EDPS (2017) *Guidelines on assessing the proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data* [draft]. Brussels. https://edps.europa.eu/sites/edp/files/publication/19-02-25_proportionality_guidelines_en.pdf.

* EDPS (2019) *Accountability on the ground. Phase II: Data Protection Impact Assessments & Prior Consultation*. Brussels. https://edps.europa.eu/sites/edp/files/publication/19-07-17_accountability_on_the://www.oecd-nea.org/rwm/reports/2004/nea5418-stakeholder.pdf.

* Grunwald Armin (2018) *Technology Assessment in Practice and Theory*. Abingdon: Routledge. doi: 10.4324/9780429442643.

* Mays Claire (2004) *Stakeholder Involvement Techniques. Short Guide and Annotated Bibliography*. Organisation for Economic Co-operation and Development (OECD), Paris. http://www.oecd-nea.org/rwm/reports/2004/nea5418-stakeholder.pdf.

* Noble Bram F. (2015) *Introduction to Environmental Impact Assessment. A Guide to Principles and Practice*. Toronto: OUP Canada.

## A PROPOS DE D.PIA.LAB

Le Laboratoire bruxellois pour l'analyse d'impact relative à la protection des données et de la vie privée, ou d.pia.lab, relie la recherche fondamentale, méthodologique et appliquée, donne des formations et prodigue des conseils stratégiques et politiques sur les analyses d'impact relevant des domaines de l'innovation et du développement technologique. Quoique les aspects juridiques de la protection des données personnelles et de la vie privée constituent les axes prioritaires de notre Laboratoire, nos activités englobent également d'autres disciplines telles que l'éthique et la philosophie ainsi que les études de surveillance et les études des sciences, des technologies et de la société (STS). Créé en novembre 2015, le Laboratoire fait partie intégrante de et s'appuie sur l'expérience du Research Group on Law, Science, Technology & Society (LSTS) établi à la Vrije Universiteit Brussel (VUB), Belgique.

Le Laboratoire a développé sa base de connaissance en matière d'analyse d'impact à partir de plusieurs projets de recherche finalisés et en cours tels que PERSONA, HR-RECYCLER and SYSTEM (cofinancé par l'UE) et PARENT (cofinancé par Innoviris). Les opinions exprimées dans la présente note ne reflètent pas nécessairement celles des bailleurs de fonds.

Nous tenons à remercier les personnes suivants (en ordre alphabétique) : Alexandra Aslanidou, Jonas Breuer, Alessandra Calvi, Roger Clarke, Katerina Demetzou, Catherine Jasserand-Breeman, Anna Johnston, Giancaudio Malgieri, Anna Mościbroda, Kjetil Rommetveit, Julien Rossi, Juraj Sajfert, Laurens Vandercruysse, Heidi Waem, Ine van Zeeland, ainsi qu'un évaluateur anonyme pour leurs précieux commentaires sur une version précédente de la présente note de politique. Traduction en français par Sleutelwoord | Mot-clé bvba (décembre 2019).