Données personnelles • Analyse d'impact : Arrêté Ministériel n° 2025‑361 du 14 juillet 2025 portant application de l'article 35 de la Loi n° 1.565

L'Arrêté Ministériel n° 2025‑361 du 14 juillet 2025 (JDM n° 8756 du 18 juillet 2024)porte application de l'article 35 de la Loi n° 1.565 du 3 décembre 2024 qui impose au responsable du traitement d'effectuer une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel lorsque le traitement (en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et de ses finalités) est susceptible d'entraîner un risque élevé pour les droits et libertés des personnes concernées.

→ L'Arrêté Ministériel établit (après avis de l'APDP) la liste des critères permettant de déterminer si un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques :

1. L’évaluation systématique et approfondie d’aspects personnels concernant des personnes physiques, y compris le profilage ;
2. La prise de décision automatisée produisant des effets juridiques à l’égard d’une personne physique ou l’affectant de manière significative de façon similaire ;
3. La surveillance systématique des personnes concernées ;
4. Le traitement de données sensibles au sens du chiffre 9 de l’article 2 de la Loi n° 1.565 ou relatives aux infractions, condamnations pénales et mesures de sûreté ou portant sur des soupçons d’activité illicites ;
5. Le croisement ou la combinaison d’ensembles de données ;
6. Le traitement de données personnelles concernant des personnes vulnérables ;
7. L’utilisation innovante ou l’application de nouvelles solutions technologiques ou organisationnelles ;
8. Le traitement empêchant la personne concernée d’exercer un droit ou de bénéficier d’un service ou d’un contrat.

→ Sont des traitements susceptibles d’engendrer un risque élevé au sens de l'art. 35 de la Loi n° 1.565, ce qui déclenche l'analyse d'impact :

• les traitements qui remplissent au moins 2 de ces 8 critères ;
• les opérations qui visent à traiter un volume considérable de données à caractère personnel, pouvant affecter un nombre important de personnes concernées apprécié en valeur absolue ou en valeur relative par rapport à la population concernée, compte tenu notamment de la durée ou la permanence de l’activité de traitement et de son étendue géographique lorsqu’elles remplissent au moins 1 de ces 8 critères ou lorsqu’elles donnent lieu à l’utilisation d’un identifiant numérique.

Le responsable de traitement peut également considérer qu’un traitement ne satisfaisant qu’1 seul des 8 critères listés par l'Arrêté Ministériel n° 2025-361 est susceptible d’engendrer un risque élevé.

* * *

Voir en complément l'Ordonnance Souveraine n° 11.327 du 10 juillet 2025 portant application de la loi n° 1.565.

* * *