Analyse d'impact DPIA pour les transferts de fichiers

Une analyse d'impact relative à la protection des données (DPIA) au titre de l'article 35 du RGPD est obligatoire lorsque le traitement « est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ». Pour les systèmes de transfert de fichiers, ce seuil est atteint lorsque vous transférez des données de catégorie spéciale à grande échelle (dossiers de santé, données biométriques), effectuez une surveillance systématique des salariés, traitez des données relatives à des mineurs, ou gérez des flux massifs de données personnelles vers des pays tiers. La DPIA documente le traitement, évalue la nécessité et la proportionnalité, examine les risques et identifie les mesures d'atténuation — avant le début du traitement. L'omettre lorsqu'elle est requise expose à des amendes au titre de l'article 83(4) pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

Quand un système de transfert de fichiers nécessite une DPIA

L'article 35(3) liste trois déclencheurs présomptifs : l'évaluation systématique et automatisée produisant des effets juridiques ou significatifs, le traitement à grande échelle de données de catégorie spéciale ou de données pénales relevant de l'article 9, et la surveillance systématique à grande échelle d'espaces publics. La plupart des autorités de protection nationales ont élargi cette liste. Celle de la CNIL (octobre 2018, mise à jour périodiquement) ajoute : utilisation innovante de la technologie, croisement de jeux de données issus de responsables différents, traitement de données de localisation ou comportementales, et traitement de données relatives à des personnes vulnérables. Une plateforme d'essais cliniques gérant des images DICOM, des identifiants patients et des fichiers génomiques déclenche l'article 35 dès le premier jour.

Le contenu requis par l'article 35(7)

L'article 35(7) spécifie quatre composants minimaux de la DPIA : (a) description systématique des opérations de traitement et des finalités, (b) évaluation de la nécessité et de la proportionnalité, (c) évaluation des risques pour les droits et libertés des personnes concernées, (d) mesures pour faire face aux risques, y compris les garanties et les démonstrations de conformité. Développez chacun : sous (a), incluez des schémas de flux de données ; sous (b), citez la base légale et prouvez que des alternatives moins intrusives ne fonctionnent pas ; sous (c), notez les risques selon la probabilité et la gravité ; sous (d), reliez chaque risque à un contrôle technique ou organisationnel concret.

Étape 1 : décrire le flux de transfert de bout en bout

Commencez par un schéma de flux de données. Point d'entrée du téléversement, prétraitement côté client, transport (TLS 1.3), réception côté serveur, chiffrement au repos (AES-256-GCM), localisation du stockage (eu-central-1), e-mail de notification au destinataire, point de téléchargement, déchiffrement dans le navigateur du destinataire, déclenchement de la suppression (expiration à 7 jours). Pour chaque flux, documentez les catégories de données personnelles (nom, e-mail, contenu du fichier, IP, horodatage), les acteurs (expéditeur, plateforme, destinataire, sous-traitants ultérieurs), et la fenêtre de conservation. Les outils comme le modèle DPIA de Microsoft ou le logiciel PIA de la CNIL produisent des enregistrements exportables acceptés par les auditeurs.

Étape 2 : évaluer la nécessité et la proportionnalité

L'article 35(7)(b) demande si le traitement est nécessaire à la finalité déclarée. Le même objectif pourrait-il être atteint avec moins de données ? Pour un système de transfert, les réponses typiques : l'adresse e-mail du destinataire est nécessaire à la livraison (pas de substitution possible). L'IP de l'expéditeur contribue à la détection des fraudes mais n'est pas strictement nécessaire — journalisez-la et supprimez-la après 30 jours plutôt que définitivement. L'analyse des fichiers pour détecter les malwares est proportionnée si elle ne extrait pas de contenu au-delà des signatures de malwares. L'indexation du contenu en temps réel pour la recherche est généralement disproportionnée sauf opt-in des utilisateurs. Documentez chaque jugement avec les alternatives examinées.

Étape 3 : évaluation des risques avec notation

Utilisez une matrice 5×5 (probabilité × gravité) ou l'échelle 4×4 du logiciel PIA de la CNIL. Listez les menaces : accès non autorisé en transit, accès non autorisé au repos, violation par un initié malveillant, divulgation contrainte par des autorités étrangères, divulgation accidentelle via un lien mal orienté, conservation au-delà de la finalité, impossibilité d'honorer les droits des personnes concernées. Pour chacune, notez le risque inhérent avant les contrôles. Pour un transfert avec TLS 1.3 seul, la divulgation accidentelle via un mauvais destinataire reçoit une probabilité de 3 (modérée) et une gravité de 4 (significative) pour des fichiers professionnels confidentiels. Après expiration du lien et journaux d'accès, la probabilité tombe à 2.

Étape 4 : identifier et documenter les mesures d'atténuation

Chaque risque reçoit une ligne de mesure d'atténuation. Accès non autorisé en transit : TLS 1.3 avec HSTS, épinglage de certificat dans les clients mobiles. Accès non autorisé au repos : AES-256-GCM avec clés par fichier, clés maîtresses gérées par KMS. Divulgation contrainte : chiffrement côté client de sorte que le prestataire ne détient que des données chiffrées, hébergement exclusivement en UE chez des prestataires souverains (OVH, Scaleway). Liens mal orientés : option de protection par mot de passe, notifications de téléchargement, expiration du lien, interface de révocation. Dépassement de conservation : TTL par défaut de 7 jours, extension manuelle limitée à 30 jours, vérification documentée de la suppression. Chaque mesure d'atténuation référence le contrôle qui la met en œuvre.

Consultation du DPO et de l'autorité de contrôle

L'article 35(2) impose la consultation du délégué à la protection des données s'il en est désigné un. Les avis du DPO doivent être documentés ainsi que les motifs de les suivre ou non. L'article 36 impose la consultation de l'autorité de contrôle si le risque résiduel demeure élevé après les mesures d'atténuation. La CNIL publie les volumes de consultations dans son rapport annuel : environ 100 à 200 consultations préalables par an, dont 30 à 60 % débouchent sur des recommandations nécessitant une reconfiguration. Prévoyez deux à quatre mois pour la réponse de l'autorité lorsqu'une consultation préalable est déclenchée — elle bloque la mise en production.

Intégration de l'analyse d'impact du transfert

Si le périmètre de la DPIA inclut des transferts internationaux, intégrez l'analyse d'impact du transfert (AIT) issue de Schrems II en annexe. L'AIT couvre les mêmes risques sous un angle différent : droit du pays tiers, accès contraint, efficacité des CCT. Pour un outil de transfert utilisant un CDN américain (Cloudflare, Fastly) même avec un stockage objet exclusivement en UE, l'AIT doit traiter la question de savoir si les métadonnées (IP, en-têtes de requête) transitent par des points de présence CDN aux États-Unis et si cela constitue un transfert. Les orientations actuelles du CEPD traitent le routage en transit comme un transfert, alors abordez ce point explicitement.

Maintenir la DPIA à jour

Une DPIA n'est pas un document définitif. L'article 35(11) impose une révision lorsque le traitement change substantiellement. Pour un service de transfert de fichiers, les changements substantiels comprennent : nouveau sous-traitant ultérieur, nouveau type de fichier pris en charge (ajout de la vidéo alors que seuls des documents étaient gérés auparavant), extension à de nouvelles catégories d'utilisateurs (particuliers versus entreprises), changements d'architecture (passage d'un hébergement exclusivement en UE à un déploiement multi-régions). Révisez au minimum annuellement, documentez la date et le réviseur, et gérez la DPIA en contrôle de version dans un registre de conformité. Une DPIA révisée pour la dernière fois en 2022 mais censée refléter le système actuel est un signal d'alarme.

Modèles et ressources qui fonctionnent

Le logiciel PIA gratuit de la CNIL (version 3.0, mis à jour en 2023) produit un PDF de DPIA conforme à l'article 35(7). L'ICO propose un modèle de DPIA et un exemple pour les traitements à haut risque. L'AEPD espagnole publie le « Guía Práctica para las Evaluaciones de Impacto ». Le manuel de l'ENISA de 2018 sur les mesures de sécurité complète ces ressources avec des contrôles techniques. Pour les transferts de fichiers spécifiquement, comparez le modèle aux lignes directrices du groupe de travail Article 29, référence WP248 (adoptées en 2017, entérinées par le CEPD). Des prestataires comme HexaTransfer publient une documentation prête pour la DPIA — schémas d'architecture, spécifications de chiffrement, listes de sous-traitants ultérieurs — que les clients peuvent intégrer dans leurs propres évaluations.

La DPIA est le document que les régulateurs réclament en premier lors d'une enquête. Rédigez-la avant de lancer votre service. Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.