Le principe d’accountability constitue l’un des éléments clés du règlement général sur la protection des données (ci-après « RGPD »). En vertu de ce principe, il revient au responsable du traitement de justifier de la conformité de ses activités de traitement de données avec les exigences de cet instrument législatif.
D’un point de vue pratique, afin de pouvoir justifier de cette conformité, le responsable du traitement doit mettre en place des procédures et documenter les actions entreprises en vue de mettre en pratique les obligations que lui impose le RGPD. L’analyse d’impact constitue l’un des outils permettant de contribuer à cette démonstration de conformité des activités de traitement avec le prescrit légal.
Dans le cadre de la présente contribution, notre attention se portera sur les points de rencontre entre les règles régissant l’analyse d’impact relative à la protection des données (ci-après « AIPD » ou « analyse d’impact ») et ce principe d’accountability. Nous ne reviendrons donc pas d’une manière systématique sur l’ensemble des dispositions relatives à l’analyse d’impact.
À titre liminaire, il nous semble opportun de souligner que l’ancienne Commission de protection de la vie privée (ci-après « CPVP ») avait elle-même rappelé ces importantes interactions dues au rôle double de l’analyse d’impact : d’une part, elle contribue au respect des principes du RGPD et, d’autre part, elle peut être utilisée comme justificatif des mesures adoptées par le responsable du traitement pour assurer la conformité de ses activités de traitemen…