Protection des données personnelles | Révision complète des lignes directrices sur les données pseudonymisées et évolution attendue des stratégies d’utilisation des données par les entreprises

La modification la plus importante réside dans la normalisation des critères d’évaluation du niveau de risque.

Alors que les risques étaient auparavant évalués individuellement à partir d’une liste de facteurs, l’évaluation repose désormais principalement sur les deux critères suivants.

• Entité utilisant les données
• Possibilité de contrôler l’environnement de traitement

Le cadre suivant a ainsi été établi.

• Nombre de formulaires : réduction de 24 à 10 types
• Risque faible : documentation minimale et examen par la personne responsable
• Risques moyen et élevé : examen approfondi par étapes

Ce dispositif vise à réduire les obstacles à la mise en œuvre des projets à faible risque, tout en soumettant les projets à risque élevé à une gestion plus rigoureuse.

• Autorisation de définir des finalités extensibles
• Assouplissement de la durée du traitement
• Possibilité d’un apprentissage répété et d’une amélioration des modèles

L’assouplissement des restrictions rigides qui s’appliquaient aux finalités a nettement amélioré l’utilité pratique du dispositif pour la conception de projets d’IA.

• Examen exhaustif → autorisation de l’examen par échantillonnage
• Prise en compte des conditions réelles de traitement de volumes importants de vidéos, de données audio, de textes, etc.

Les exigences de justification ont toutefois été renforcées en ce qui concerne notamment les motifs du choix de la méthode d’examen, la conception de l’échantillonnage, les mesures complémentaires et la conservation des documents.

À la suite de cette évolution, les entreprises doivent élaborer les stratégies suivantes.

Services juridiques et de conformité

• Reclassification de l’ensemble des projets d’utilisation des données
• Examen de l’applicabilité des dispositions spéciales relatives au traitement des données pseudonymisées
• Précision de la formulation des finalités (apprentissage de l’IA → ventilation par modèle et par indicateur)

Services chargés des données et de l’IA

• Conception fondée sur le principe que les données non structurées présentent un risque élevé
• Conception de l’examen par échantillonnage et mise en place d’un système de consignation
• Séparation des données d’apprentissage et des résultats produits par le service

Services de sécurité, services informatiques et unités opérationnelles

• Réorganisation de la structure de transmission externe
• Examen de la structure contractuelle applicable aux sous-traitants
• Mise en place de systèmes de gestion des droits d’accès et des journaux ainsi que de contrôle des exportations de données

Les critères suivants peuvent être utilisés dans le cadre d’un contrôle interne concret de l’entreprise.

Utilisation des données et gestion des risques

• Existe-t-il des critères de classification préalable du risque pour chaque projet ?
• L’utilisation interne est-elle distinguée de la transmission externe ?
• Un environnement d’analyse contrôlable a-t-il été mis en place ?

Système de pseudonymisation et d’examen

• Existe-t-il des critères permettant d’examiner le caractère approprié de la méthode de pseudonymisation ?
• Existe-t-il un système d’examen distinct pour les données non structurées ?
• La conception de l’examen par échantillonnage et les procédures complémentaires sont-elles documentées ?

Système de documentation et de justification

• Définition suffisamment précise des finalités (par modèle et par indicateur)
• Consignation des motifs de l’évaluation du risque
• Conservation des documents relatifs aux procédures d’examen et d’approbation

Contrats et structure de transmission externe

• Intégration de clauses relatives à la protection des données personnelles dans les contrats conclus avec les sous-traitants
• Mise en place d’un système de contrôle des exportations de données et de gestion des droits d’accès
• Tenue de journaux et garantie d’une traçabilité ultérieure

Cette révision transmet le message suivant.

L’utilisation des données est étendue, mais la responsabilité de justifier sa légitimité et sa sécurité est renforcée.

La simplification applicable aux situations à faible risque, l’élargissement des finalités liées à l’IA et l’autorisation de l’examen par échantillonnage constituent un assouplissement réglementaire manifeste, mais celui-ci bénéficie surtout aux entreprises dotées d’un système explicable de gestion des risques.

Les difficultés soulevées par les lignes directrices révisées ne peuvent être résolues par de simples mesures techniques. Le caractère approprié du traitement des données pseudonymisées dépend en définitive de la possibilité de le justifier juridiquement.

Le Cabinet d’avocats Daeryun fournit les services de conseil suivants pour l’ensemble du processus d’utilisation des données par les entreprises.

• Examen de la licéité du traitement des données pseudonymisées et conception d’un système de classification des risques
• Définition des finalités des projets d’IA et de données et conception de leur structure documentaire
• Établissement de critères juridiques applicables au traitement et à l’examen des données non structurées
• Examen des risques liés aux contrats avec les sous-traitants et à la structure de transmission externe
• Élaboration de stratégies en réponse aux enquêtes et aux sanctions relatives à la protection des données personnelles

Pour les questions associant les données, l’informatique et le droit, une structure de conseil intégrée tenant compte à la fois des aspects techniques et juridiques permet de renforcer les capacités de réponse pratique.

Si vous avez besoin d’une assistance concernant une question connexe, vous pouvez prendre 🔗rendez-vous pour une consultation juridique auprès de notre cabinet.