Analyse d’impact des traitements de données RH : les entreprises ont jusqu’au 24 mai 2021

Les déclarations préalable à la CNIL, c’est terminé depuis le 25 mai 2018. Le traitement des données personnelles, notamment celles des salariés par les services de ressources humaines, doit répondre aux obligations du RGPD. Ce règlement n’a toutefois pas supprimé toutes les exigences d’analyse préalable de l’effet d’un traitement de données personnelles. Lorsque ce dernier est particulièrement sensible, les entreprises doivent mettre en œuvre au préalable une analyse d’impact relative à la protection des données (AIPD, ou PIA en anglais).

Mais en 2018 lors de l’entrée en vigueur du RGPD, peu d’entreprises et de collectivités avaient pris le temps de se conformer à la nouvelle règlementation. En réaction, la CNIL leur a accordé un délai de grâce de trois ans pour réaliser l’analyse d’impact des traitements de données mis en place avant le 25 mai 2018. La date fatidique approche. Au 25 mai 2021, plus d’excuses pour avoir omis de réaliser cette étude d’impact.

Des contrôles accrus à partir de mai 2021 ?

L’approche de cette date pourrait donner le top départ de contrôles CNIL plus poussés, selon Éric Barbry, avocat associé du cabinet Racine, spécialisé en droit des données personnelles. « Je n’ai constaté chez mes clients aucun contrôle CNIL depuis mai 2018 concernant le respect des règles relatives aux analyses d’impact. Tous les traitements RH mis en œuvre après mai 2018 devraient avoir fait l’objet d’une telle analyse, or ce n’est pas le cas. Je pense que la CNIL attend la fin du délai de mise en conformité pour opérer un tour de vis pour toutes les entreprises. »

Il reste un peu plus d’un mois aux...