Que sont le LIA et le DPIA en protection des données ?

Dans le cadre du Règlement général sur la protection des données (RGPD) et, en Espagne, de la LOPDGDD, il ne suffit pas d'« avoir de bonnes intentions » ou d'« utiliser des données publiques ». Si vous traitez des données personnelles, vous devez pouvoir justifier pourquoi vous le faites, dans quel but, quel impact cela peut avoir sur les personnes et quelles mesures vous appliquez pour protéger leurs droits.

Deux outils courants pour documenter cette analyse sont le LIA (Évaluation de l'intérêt légitime) et le DPIA (Analyse d'impact relative à la protection des données, ou AIPD).

Qu'est-ce que le LIA (Legitimate Interest Assessment)

Le LIA est une analyse utilisée lorsqu'une organisation souhaite fonder un traitement de données sur la base juridique de l'intérêt légitime. Son but est de démontrer, par écrit, que cet intérêt peut prévaloir sur les droits et libertés des personnes concernées, et que le traitement est raisonnable et proportionné.

À quoi sert un LIA

Un LIA sert à répondre de manière documentée à des questions comme :

• Quel est l'intérêt légitime concret poursuivi ?
• Est-il vraiment nécessaire de traiter des données personnelles pour atteindre cet objectif ?
• Comment le traitement affecte-t-il les personnes et quelles attentes raisonnables peuvent-elles avoir ?
• Quelles garanties sont appliquées pour réduire l'impact (information claire, droit d'opposition, minimisation des données, etc.) ?

Quand un LIA est-il généralement nécessaire

Le LIA est généralement pertinent lorsque le traitement ne repose ni sur le consentement ni sur un contrat, et que l'on cherche à le justifier par l'intérêt légitime. En pratique, il apparaît fréquemment dans des activités comme la prospection commerciale B2B, l'utilisation de coordonnées professionnelles ou l'exploitation d'informations publiées sur des sources accessibles au public, à condition qu'il existe une justification et des mesures adéquates.

Important : l'intérêt légitime n'est pas automatique. Il dépend du contexte, du type de données, de la finalité, de la relation avec la personne concernée et des mesures d'atténuation appliquées.

Qu'est-ce que le DPIA (Data Protection Impact Assessment)

Le DPIA (Analyse d'impact relative à la protection des données) est une analyse plus approfondie, réalisée lorsqu'un traitement peut engendrer un risque élevé pour les droits et libertés des personnes. Son objectif est d'identifier les risques, d'évaluer leur gravité et leur probabilité, et de définir des mesures concrètes pour les réduire avant de lancer le traitement.

À quoi sert un DPIA

Un DPIA aide à :

• Décrire le traitement de façon claire (données, finalité, flux, destinataires, durées de conservation, etc.).
• Évaluer la nécessité et la proportionnalité du traitement.
• Détecter les risques pour les personnes (perte de contrôle, discrimination, exposition, usurpation d'identité, etc.).
• Définir des mesures techniques et organisationnelles pour atténuer ces risques.
• Déterminer le risque résiduel après application de ces mesures.

Quand un DPIA peut-il être obligatoire

Le DPIA peut être obligatoire lorsque le traitement est particulièrement intrusif ou intensif, par exemple (à titre indicatif) :

• Traitements à grande échelle.
• Profilage ou évaluation systématique de personnes avec des effets significatifs.
• Utilisation de nouvelles technologies dont les impacts sont incertains.
• Combinaison de grands volumes de données ou de sources multiples.
• Observation ou surveillance systématique.

Important : il n'existe pas de règle universelle valable pour tous les cas. L'obligation de réaliser un DPIA dépend du contexte et du niveau de risque, et nécessite généralement une analyse spécifique.

Différences clés entre LIA et DPIA

• LIA : il se concentre sur la justification du recours à l'intérêt légitime comme base juridique.
• DPIA : il se concentre sur l'identification et l'atténuation des risques élevés du traitement.

Dans certains projets, les deux peuvent être nécessaires : un LIA pour justifier la base légale et un DPIA pour documenter la gestion du risque lorsque le traitement est plus sensible ou plus intensif.

Une remarque pratique sur les « modèles »

Même s'il existe des modèles ou des schémas indicatifs, ni le LIA ni le DPIA ne devraient être traités comme une simple formalité. Pour qu'ils aient une réelle valeur (et soient défendables face à un DPO ou à une autorité), ils doivent refléter le traitement concret, ses finalités, les données concernées et les mesures appliquées.

Ce contenu est informatif et ne constitue pas un conseil juridique personnalisé.

Si votre cas est le cold email

Si votre activité inclut de la prospection commerciale par e-mail (par exemple, le cold email), il est particulièrement important de bien documenter la base juridique applicable ainsi que les mesures de transparence, de minimisation et de respect du droit d'opposition. Et si vous souhaitez lancer des campagnes d'e-mail à froid, vous pouvez le faire avec Mailerfind.