PIA : le workflow

Cet article décrit le workflow d’un PIA, de la rédaction à la validation, en passant par l’évaluation. Il recense aussi les permissions nécessaires à chaque phase du PIA, ainsi que les fonctions import/export.

Lorsqu'un traitement de données personnelles est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, il est nécessaire de réaliser un AIPD (Analyse d’Impact relative à la Protection des Données), aussi appelé PIA (Privacy Impact Assessment).

Dans le PIA du logiciel RGPD vous retrouverez toutes les fonctionnalités disponibles dans l’outil PIA de la CNIL. Vous aurez également la possibilité de travailler de manière collaborative entre rédacteur(s), évaluateur(s) et validateur(s).

 

Table des matières

• Permissions
• Créer un PIA
• Workflow
• Archiver un PIA
• Importer un PIA
• Exporter un PIA
• Dupliquer un PIA

Permissions

Le tableau suivant contient la liste des permissions nécessaires pour travailler sur chaque aspect d’un PIA.

Créer un PIA

Il est possible de créer un PIA avant ou après le traitement associé. Nous allons regarder les différences entre ces deux approches.

Créer un PIA avant un traitement

Il s’agit de créer un PIA afin d'évaluer un traitement qui est encore à l'état d'étude. Le PIA servira alors à vous guider dans la conception de votre traitement et à assurer que ce dernier sera conforme au RGPD. Il se peut que suite au PIA vous serez amené à modifier le projet du traitement, ou même à décider à ne pas l’implémenter. En tous les cas, le but du PIA sera de s’assurer que le traitement est bien conforme au RGPD.

Pour créer un PIA avant le traitement :

1. Dans la barre latérale, cliquez sur Analyses d’impact > Ajouter une analyse d’impact.
   
   

2. Dans la boîte de dialogue Ajouter une analyse d’impact, saisissez les informations obligatoires :
   • Donnez un Nom au PIA.
   • Sélectionnez une personne pour la Rédaction, l’Évaluation et la Validation. Elles peuvent être la même personne ou des personnes différentes. Vous pouvez sélectionner plusieurs personnes pour chaque catégorie.
3. Cliquez sur le bouton Ajouter le PIA.

 Le PIA est ajouté à liste avec comme statut En cours de rédaction. Le rédacteur est notifié qu’il peut commencer à le compléter.

 

Associer le PIA à un traitement

Vous pouvez associer le PIA à un ou plusieurs traitements à n’importe quel moment, peu importe le statut du PIA ou du traitement.

Pour associer un PIA à un traitement :

1. Dans la barre latérale, cliquez sur Analyses d’impact.

2. Sur la page Analyse d’impact, cliquez sur le nom du PIA pour l’ouvrir.

3. En haut à droite, cliquez sur le bouton Détails.

4. Dans le champ Traitements associés, sélectionnez le traitement souhaité.

Créer un PIA après un traitement

Il est possible de commencer par créer un traitement et de réaliser le PIA ensuite. L’avantage de cette approche réside dans le fait que certains champs du PIA sont remplis automatiquement avec les informations récupérées dans le traitement.

 

Pour créer un PIA après un traitement :

1. Dans la barre latérale, cliquez sur Traitements, recherchez le traitement et ouvrez-le.

2. Dans le menu du traitement, cliquez sur Analyses d’impact.

3. A la question L’entité a-t-elle réfléchi à la nécessité de faire une analyse d’impact ? cochez Oui.
4. Selon votre situation, répondez à la question résultante L'entité a-t-elle mené une analyse d'impact ?

 

7. Dans la boîte de dialogue Ajouter une analyse d’impact, saisissez les informations obligatoires :

• • Donnez un Nom au PIA

  • Sélectionnez une personne pour la Rédaction, l’Évaluation et la Validation. Elles peuvent être la même personne ou des personnes différentes. Vous pouvez sélectionner plusieurs personnes pour chaque catégorie.

  • Le traitement associé est sélectionné par défaut.

 

8. Cliquez sur le bouton Ajouter un PIA.

 Le PIA s’ouvre et possède le statut En cours de rédaction. Le rédacteur est notifié qu’il peut commencer à le compléter.

Workflow

Un PIA passe à travers un certain nombre de phases, ou statuts, de la création jusqu’au moment de la validation, ou du refus.

A chaque changement de statut d’un PIA, la personne appelée à travailler dessus (rédacteur, évaluateur, validateur) reçoit une notification.

Le tableau suivant résume les conditions à remplir pour chaque changement de statut.

Rédiger un PIA

Lors de la création d’un PIA, son statut est En cours de rédaction. Il peut être complété par le(s) rédacteur(s).

Pour rédiger un PIA :

1. Dans la barre latérale, cliquez sur Analyses d’impact.

2. Dans la liste des analyses d’impact, cliquez sur le nom d’un PIA pour l’ouvrir.

3. Sélectionnez une des rubriques et répondez aux questions, dans l’ordre de votre choix. Il n’est pas nécessaire de répondre à toutes les questions d'une rubrique pour passer à un autre.

4. Vous pouvez aussi :

• Cliquer sur Commentaire(s), ajouter un commentaire et cliquer sur le bouton Ajouter un commentaire. Il est possible d’ajouter plusieurs commentaires.

• Cliquer sur l’onglet Documents afin d’ajouter des documents justificatifs

• Cliquez sur la rubrique Vue d’ensemble des risques pour obtenir une vision des risques sous forme graphique.

5. Lorsque vous avez répondu à toutes les questions, le bouton Demander une évaluation devient actif (rouge). Cliquez sur le bouton pour terminer la phase de rédaction et notifier l'évaluateur.

Evaluer un PIA

Lorsque le statut d’un PIA passe à En cours d'évaluation, il peut être pris en charge par l'évaluateur.

Un évaluateur ne peut pas modifier les réponses d’un rédacteur. Il peut uniquement les évaluer à l’aide des boutons d'évaluation qui se trouvent soit à la fin de chaque question, soit à la fin de la rubrique.

 

Pour évaluer un PIA :

1. Passez chaque réponse en revue and sélectionnez l’une des trois cases d’Évaluation.

• Acceptable : Les données sont suffisamment protégées.

• Améliorable : Des mesures supplémentaires sont souhaitables pour améliorer la protection des données. Vous devez décrire le plan d’action ou les mesures correctives à apporter dans le champ de texte en-dessous.

• À corriger : Les informations saisies sont insuffisantes pour assurer la protection des données. Vous devez alors expliquer les modifications demandées dans le champ Commentaire d'évaluation.

2. Après avoir évalué chaque réponse, cliquez sur le bouton Valider l'évaluation.

Corriger un PIA

S’il y a au moins une évaluation À corriger, le PIA repasse en statut En cours de rédaction et le rédacteur reçoit une notification. Ainsi commence le cycle de correction.

1. Ouvrez le PIA.

2. Effectuez les modifications demandées par l'évaluateur dans chaque rubrique. Si nécessaire, vous pouvez apporter des modifications aux réponses évaluées Améliorable.

   A la modification d'une réponse, le bouton d'évaluation correspondant se désactive.
3. Après avoir saisi les modifications, cliquez sur le bouton Demander une évaluation.
   
   Le statut du PIA passe en En cours d'évaluation et l'évaluateur reçoit une notification.

 

4. L’Evaluateur passe en revue les modifications effectuées par les rédacteurs. S’il les trouve satisfaisants, il clique le bouton Acceptable de chaque question ou rubrique.

• Les modifications apportées par le rédacteur sont matérialisées à côté du nom de chaque rubrique par un compteur rouge.

• Pour obtenir une vue d'ensemble des rubriques à évaluer, l'évaluateur peut cliquer sur la section Plan d’action.

 

5. L'évaluateur clique sur le bouton Valider l'évaluation. Le statut du PIA passe en En cours de validation et le validateur reçoit une notification.

Valider un PIA

Lorsque le statut d’un PIA passe en En cours de validation, le validateur doit valider les réponse saisies par le rédacteur et évaluées par l'évaluateur. Un validateur ne peut pas modifier les réponses d’un rédacteur. Par contre, il peut changer les évaluations faites par un évaluateur.

 

Pour valider un PIA :

1. Passez en revue les questions de toutes les rubriques.

 

2. Pour changer des évaluations existantes, cliquez sur l'évaluation souhaitée et saisissez vos commentaires.

3. Rendez-vous sur la rubrique Avis du DPD et des personnes concernées et complétez tous les champs.

Le bouton Terminer la validation s'active.

4. Cliquez sur le bouton.

5. Dans le menu de gauche, cliquer sur la section Valider le PIA.

6. Vous avez alors plusieurs options :

• • Valider le PIA. Confirmez les 4 affirmations et cliquez sur le bouton Valider le PIA. Le statut passe en Validé.

  • Demander la correction du PIA. Vous avez confirmé les 4 affirmations mais vous avez changé des évaluations, avez saisi des commentaires et vous souhaitez voir des modifications avant de valider le PIA. Cliquez sur le bouton A corriger. Le statut passe en En cours d'évaluation et le cercle de correction reprend.

  • Refuser le PIA. Vous ne confirmez pas les 4 affirmations. Cliquez sur le bouton Refuser le PIA. Le statut passe en Refusé.

 

Archiver un PIA

Dans le cas où il y aurait des modifications dans les exigences du RGPD ou des changements des niveaux de risque dans votre entité, un PIA validé peut un jour devenir obsolète. Dans ce cas, vous pouvez l’archiver et créer un nouveau PIA.

 

Pour archiver un PIA :

Cliquez sur le bouton Archiver le PIA.

Importer un PIA

Importer un PIA de la CNIL

Un PIA généré par le logiciel RGPD de DLD est 100% compatible avec un PIA généré par le logiciel de la CNIL. Ainsi un PIA saisi partiellement ou entièrement sur le logiciel de la CNIL peut être importé dans le logiciel RGPD.

 

Pour importer un PIA de la CNIL :

1. Dans le logiciel PIA de la CNIL, exporter le PIA au format .json.

2. Dans le logiciel RGPD de DLD, dans la barre latérale, cliquez sur Analyses d’impact.

3. En haut à droite, cliquez sur le bouton Importer un PIA.

4. Sélectionnez une ou plusieurs personnes pour la Rédaction, l’Évaluation et la Validation.

5. Cliquez sur Sélectionner votre PIA et ouvrez le fichier .json.

Le PIA s’ajoute à la liste des PIA dans le logiciel RGPD. Il peut désormais suivre le workflow standard d’un PIA décrit dans cet article.

Mettre à jour un PIA de DLD avec un PIA de la CNIL

Lorsque le statut d’un PIA est En cours de rédaction, vous pouvez le mettre à jour avec un PIA plus récent créé avec le logiciel PIA de la CNIL. Lors de cette opération, toutes les informations dans le PIA initial sont écrasées avec les informations du PIA de la CNIL. Seules les personnes responsables de la rédaction, l'évaluation et la validation restent inchangées.

 

Pour mettre à jour un PIA :

1. Dans le logiciel PIA de la CNIL, exporter le PIA au format .json.

2. Dans le logiciel RGPD de DLD, dans la barre latérale, cliquez sur Analyses d’impact et ouvrez le PIA que vous souhaitez mettre à jour.

3. Cliquez sur le bouton Mettre à jour le PIA.

4. Dans la boîte de dialogue Mettre à jour le PIA, cliquez sur Sélectionner votre PIA, trouvez le fichier .json et cliquez sur le bouton Mettre à jour.

Importer un autre format de PIA

Lorsque vous importez un PIA qui n’est pas au format de la CNIL, il s’ajoute à votre bibliothèque Accountability, dans la catégorie nommée Analyses d'impact autres que CNIL.

Exporter un PIA

Vous avez la possibilité d’exporter les PIA à partir du logiciel RGPD en deux types de format :

• pdf pour la lecture et le partage

• json pour le réimport dans le logiciel de la CNIL.

Pour exporter un PIA :

1. Dans le logiciel RGPD de DLD, dans la barre latérale, cliquez sur Analyses d’impact.

2. Cliquez sur le nom du PIA pour l’ouvrir

3. En haut à droite, cliquez sur Plus d'actions

4. Selon votre besoin, sélectionnez :

   • Format .json.

   • Format .pdf.

Pour exporter tous les PIA d’une entité :

1. Dans le logiciel RGPD de DLD, dans la barre latérale, cliquez sur Analyses d’impact.

2. En haut à droite, cliquez sur Plus d'actions et sélectionnez Export global.

Tous les PIAs sont exportés au format .json.