AIPD : consulter les personnes concernées
Préparer la consultation des personnes dans une AIPD : participants, questions, données collectées et suite donnée aux avis.
Une AIPD peut être techniquement détaillée tout en ignorant une difficulté vécue par les personnes concernées : compréhension d’un contrôle, accès trop large à un dossier ou impossibilité d’exercer un droit. Recueillir leur avis aide à identifier ces effets. Cette consultation doit avoir un objet précis et une influence traçable sur l’analyse.
Ce qu’il faut retenir
- L’article 35(9) prévoit, le cas échéant, de demander l’avis des personnes ou de leurs représentants.
- Recueillir un avis n’est pas recueillir un consentement au traitement.
- Le dispositif de consultation peut lui-même traiter des données personnelles et doit être encadré.
- Documentez les avis reçus, les suites données et les raisons d’une absence de consultation.
Définir ce que la consultation peut éclairer
L’article 35(9) réserve la protection des intérêts généraux ou commerciaux et la sécurité des opérations. Il n’impose pas un sondage identique pour chaque AIPD. Le choix de consulter et ses modalités doivent tenir compte du contexte. RGPD, chapitre IV.
Les lignes directrices G29 WP248 rev.01 invitent à justifier une décision de ne pas recueillir d’avis et à documenter les raisons lorsqu’une décision finale s’en écarte. Elles distinguent explicitement consultation et consentement. Lignes directrices, section III.D.b.
Dans votre analyse d’impact, identifiez les incertitudes à éclairer : effets sur une population, compréhension du parcours, capacité à corriger une erreur ou garanties attendues. Une question vague sur la satisfaction globale n’apporte pas nécessairement d’information sur ces risques.
Préparer une fiche de consultation
La fiche peut comprendre six éléments : objectif, participants ou représentants, informations présentées, questions, modalités de collecte et décision attendue. Choisissez un échantillon pertinent pour les usages concernés, sans présenter une consultation limitée comme représentative de tous les publics.
Exemple hypothétique : un service modifie les accès à des dossiers partagés. Les questions suivantes peuvent être adaptées :
- Quelles personnes pensez-vous pouvoir consulter ces informations ?
- Quelles conséquences aurait un accès par un interlocuteur non attendu ?
- Comment signaleriez-vous une information inexacte ?
- Quelle explication du nouveau partage reste difficile à comprendre ?
- Quelle garantie proposée répond à votre préoccupation, et laquelle paraît insuffisante ?
Présentez le scénario et les limites de l’exercice avant les questions. Évitez de demander aux participants de révéler des situations sensibles personnelles pour justifier une inquiétude générale.
Encadrer les données recueillies
Privilégiez les réponses anonymes lorsque l’identification n’apporte rien à l’analyse. Vérifiez toutefois si les champs libres ou le contexte permettent de reconnaître les participants. Une réponse sans nom n’est pas automatiquement anonyme.
Si des données personnelles sont traitées, déterminez la base légale applicable, informez les participants, limitez les accès et fixez une durée. Les principes des articles 5(1)(c) et 5(1)(e), ainsi que les obligations pertinentes de l’article 13, continuent de s’appliquer. RGPD.
Pour une consultation commune à plusieurs organismes, précisez qui reçoit les réponses. Le cadrage d’une AIPD partagée doit couvrir cette organisation et les différences de public.
Relier les avis aux décisions
Classez les retours par risque ou mesure, sans chercher seulement à compter les avis favorables. Un retour isolé peut révéler un scénario grave. La synthèse distingue les préoccupations, leur évaluation, les modifications retenues et les raisons d’un écart.
La consultation ne rend pas licite un traitement qui ne respecte pas une obligation. Elle ne constitue pas non plus un référendum dont la majorité permettrait d’écarter les droits d’une minorité. Ses résultats enrichissent l’analyse et la décision du responsable.
Si le projet évolue ensuite, vérifiez si les avis recueillis restent pertinents. Un réexamen de l’AIPD peut nécessiter une nouvelle consultation ciblée lorsque les conséquences envisagées changent.
FAQ
L’avis favorable des participants vaut-il consentement ?
Non. La consultation vise à comprendre leurs observations sur le traitement. Le consentement, lorsqu’il constitue la base légale retenue, répond à des conditions distinctes.
Peut-on consulter uniquement des représentants ?
L’article 35(9) prévoit cette possibilité. Vérifiez que leur rôle et leur connaissance permettent d’éclairer utilement les effets du traitement pour les personnes concernées.
La confidentialité d’un projet dispense-t-elle toujours de consulter ?
Non. Appréciez la difficulté concrète et les modalités possibles : description partielle, groupe limité ou autre méthode adaptée. Si la consultation est jugée inappropriée, documentez les raisons.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.