RGPD : Qu'est-ce qu'un traitement de données à grande échelle ?

Le RGPD introduit la notion de traitement présentant des risques élevés pour les droits et libertés des personnelles physiques, illustrée notamment, à l’article 35, par un traitement effectué à grande échelle. Ce critère fait également partie de ceux fixés par le G29 pour déterminer si le traitement présente des risques élevés [1].

[Découvrir nos livres blancs sur le RGPD]

Cette notion n’est pas définie plus précisément par le RGPD, mais détermine trois obligations des responsables de traitements et sous-traitants :

• la nomination d’un représentant pour les sous-traitants situés hors UE, article 27,

• la nécessité d’effectuer une analyse d’impact, article 35,

• la nomination d’un délégué à la protection des données, article 37.

Le RGPD a néanmoins exclu deux situations, « si le traitement concerne les données à caractère personnel de patients ou de clients par un médecin, un autre professionnel de la santé ou un avocat exerçant à titre individuel » [2].

Le G29 est venu éclaircir cette notion, en considérant qu’elle doit être perçue de manière objective. En prenant en considération :

• le nombre de personnes concernées, en valeur absolue ou en proportion de la population considérée,

• le volume de données et/ou l’éventail des différents éléments de données traitées,

• la durée ou la permanence de l’activité de traitement,

• son étendue géographique.

Le G29 fournit également plusieurs exemples pratiques :

• les données des patients d’un hôpital,

• les données des réseaux sociaux,

• l’utilisation par un magazine en ligne d’une liste de diffusion pour communiquer à ses abonnés son digest générique quotidien,

• le traitement des données par un moteur de recherche à des fins de publicité comportementale

• le traitement des données (localisation, contenu, trafic) par des fournisseurs de services de téléphonie ou internet.

Les traitements les plus en vogue actuellement, qui se trouvent confrontés à cette notion, sont ceux relatifs au Big Data, dont l’essence même repose sur un grand volume de données, afin d’avoir un résultat satisfaisant.

Triplement labélisé CNIL, Le Cabinet HAAS Avocats accompagne depuis plus de 20 ans ses clients dans leur transition digitale ainsi que dans la mise en conformité de leurs traitements.

Vous souhaitez en savoir plus sur nos prestations d’accompagnement en cette matière ?

Découvrez nos livres blancs sur le RGPD en cliquant ici.

[1] Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est « susceptible d’engendrer un risque élevé » aux fins du règlement UE 2016/679, adoptées le 4 avril 2017

[2] Considérant 91 RGPD