Considérant 90
Règlement général sur la protection des données · UE 2016/679
| (90) | Dans de tels cas, une analyse d'impact relative à la protection des données devrait être effectuée par le responsable du traitement, préalablement au traitement, en vue d'évaluer la probabilité et la gravité particulières du risque élevé, compte tenu de la nature, de la portée, du contexte et des finalités du traitement et des sources du risque. Cette analyse d'impact devrait comprendre, notamment, les mesures, garanties et mécanismes envisagés pour atténuer ce risque, assurer la protection des données à caractère personnel et démontrer le respect du présent règlement. |
Au Luxembourg, la CNPD a publié sa propre liste de traitements soumis à AIPD obligatoire (décision du 16 octobre 2018), qui complète les critères EDPB avec des cas spécifiques au tissu économique luxembourgeois (traitements transfrontaliers, big data financier, profilage RH systématique). La loi du 1er août 2018 portant organisation de la CNPD confirme par ailleurs le pouvoir d'injonction de l'autorité, qui peut exiger la production d'une AIPD lors d'un contrôle, même a posteriori.
Pratique Luxgap : pour tout traitement à risque opéré par une entité luxembourgeoise (banque privée, fintech CSSF, assurance CAA, fonds d'investissement), nous calons systématiquement la trame AIPD sur la liste CNPD du 16 octobre 2018, et non uniquement sur les critères EDPB, afin de garantir l'opposabilité directe en cas de contrôle.
