RGPD : un « traitement à grande échelle », c’est quoi ?

Le Règlement Général sur la Protection des Données (RGPD) de l’Union européenne établit des critères pour définir ce qu’est un « traitement à grande échelle » de données à caractère personnel. Cette qualification revêt une importance particulière dans le cadre de la mise en conformité des entreprises avec le RGPD. Explorons ce concept et ce qu’il implique.

Pourquoi qualifier un traitement de « traitement à grande échelle » ?

La désignation d’un traitement comme étant à grande échelle entraîne plusieurs implications :

• Obligation de désigner un Délégué à la Protection des Données (DPO) par le responsable du traitement.
• Possibilité de devoir réaliser une analyse d’impact sur la protection des données (AIPD).

Les critères définissant un « traitement à grande échelle »

Selon le RGPD, un traitement à grande échelle concerne un volume important de données personnelles à l’échelle régionale, nationale ou supranationale, affectant un nombre significatif de personnes et pouvant engendrer des risques élevés pour leurs droits et libertés. Le texte mentionne également que l’utilisation de nouvelles technologies à grande échelle peut constituer un tel traitement.

Lignes directrices pour qualifier un traitement à grande échelle

Le G29, le groupe des autorités de protection des données de l’UE, propose des lignes directrices pour aider à qualifier un traitement comme étant à grande échelle. Il recommande de prendre en compte :

• Le nombre de personnes concernées.
• Les catégories de données traitées.
• La durée et l’étendue géographique du traitement.

Exemples de traitements à grande échelle

• Traitement des données de patients par un hôpital.
• Traitement des données de voyage des passagers par un moyen de transport public.
• Traitement des données de clients par une compagnie d’assurance ou une banque.
• Traitement des données par un moteur de recherche à des fins publicitaires.

Ce que les textes européens ne précisent pas

Les textes européens donnent des indications générales sur ce qui constitue un traitement à grande échelle mais ne fournissent pas de critères précis, laissant cette évaluation à la discrétion du responsable du traitement. La CNIL pourra se prononcer sur des cas concrets dans le cadre de ses missions de contrôle.

En conclusion, qualifier un traitement de « traitement à grande échelle » repose sur une évaluation des critères généraux définis par le RGPD et les lignes directrices du G29, tout en prenant en compte la spécificité de chaque cas. C’est une étape importante dans la mise en conformité au RGPD et dans la protection des données personnelles des individus.