Une analyse d’impact relative à la protection des données (AIPD) est obligatoire avant tout traitement susceptible d’engendrer un risque élevé pour les personnes. Elle est requise si le traitement figure sur la liste de la CNIL, ou s’il remplit au moins deux des neuf critères du Comité européen de la protection des données (CEPD). Elle se mène avant le lancement, en quatre parties, avec l’avis du DPO, et se garde à disposition de la CNIL.
L’essentiel
- Qui : le responsable de traitement, avant la mise en œuvre, pour tout traitement à risque élevé (article 35 du RGPD).
- Quand : traitement listé par la CNIL, ou au moins deux critères sur neuf ; une AIPD déjà menée sur un traitement très similaire peut servir de base.
- Comment : méthode CNIL en quatre parties (contexte, principes fondamentaux, risques, validation) ; l’outil PIA de la CNIL est gratuit.
- Après : le DPO rend un avis écrit, l’analyse est conservée et réexaminée à chaque changement notable ; si le risque résiduel reste élevé, la CNIL est consultée avant le lancement (article 36).
Ce que dit le cadre juridique
| Source | Ce qu’elle impose |
|---|---|
| Article 35.1 | Analyse avant le traitement lorsqu’il est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, notamment avec de nouvelles technologies. |
| Article 35.3 | Cas où l’analyse est requise : évaluation systématique et approfondie fondée sur un traitement automatisé (profilage) produisant des effets juridiques ou similaires ; traitement à grande échelle de données sensibles ou pénales ; surveillance systématique à grande échelle d’une zone accessible au public. |
| Article 35.7 | Contenu minimal : description des traitements et des finalités, évaluation de la nécessité et de la proportionnalité, évaluation des risques, mesures prévues pour y faire face. |
| Article 35.2 et 35.9 | Le responsable demande conseil au DPO et, le cas échéant, recueille l’avis des personnes concernées ou de leurs représentants. |
| Article 36 | Consultation préalable de la CNIL lorsque l’analyse montre un risque résiduel élevé que le responsable ne parvient pas à réduire. |
| Article 83.4 | Le manquement aux articles 35 et 36 expose à une amende administrative pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial. |
Pour le détail du texte article par article, consultez la fiche sur l’article 35 du RGPD.
Comment savoir si votre traitement exige une AIPD ?
Deux entrées permettent de conclure. La première est la liste publiée par la CNIL des types d’opérations pour lesquelles une AIPD est requise, et celle des opérations pour lesquelles elle ne l’est pas.
La seconde est le test des neuf critères issus des lignes directrices européennes : si le traitement en remplit au moins deux, l’analyse est à mener. Le tableau « Prêt à l’emploi » plus bas reprend ces critères sous forme de grille.
Dans une PME, les traitements qui déclenchent le plus souvent une AIPD sont la surveillance des salariés (vidéosurveillance, badgeuse biométrique, géolocalisation des véhicules), le profilage RH, les données de santé et les outils d’IA qui évaluent des personnes. Les autres cas se jugent au cas par cas.
Comment mener une analyse d’impact en quatre parties ?
La CNIL structure l’analyse en quatre parties. Cette méthode sert de trame, que vous utilisiez son outil PIA ou un document de votre choix.
1. Décrire le contexte
Décrivez le traitement : finalités, données collectées, personnes concernées, destinataires, durées de conservation, supports et sous-traitants. Reprenez la fiche du registre et complétez-la avec les opérations réelles, auprès des services qui opèrent le traitement.
2. Vérifier les principes fondamentaux
Démontrez que le traitement est nécessaire et proportionné : finalité déterminée, base légale, minimisation, durées de conservation. Vérifiez aussi les mesures qui protègent les droits des personnes : information, consentement, accès, rectification, effacement, opposition, sous-traitance, transferts.
3. Apprécier les risques
Pour chaque événement redouté (accès illégitime, modification non désirée, disparition de données), identifiez les impacts sur les personnes, les sources de risque, les menaces et les mesures existantes. Cotez ensuite la gravité et la vraisemblance, avant et après mesures.
Cette étape se distingue d’une analyse de sécurité de l’entreprise : elle porte sur les risques pour les personnes, pas pour l’organisation. Une méthode comme EBIOS RM ou la norme ISO 27005 peut alimenter l’analyse, mais ne la remplace pas.
4. Valider ou réviser
Le responsable de traitement valide l’analyse après l’avis du DPO, ou décide de revoir les étapes précédentes. Il consigne le plan d’action avec un responsable et une échéance par mesure. Si le risque résiduel reste élevé, la consultation préalable de la CNIL est obligatoire avant le lancement.
Qui fait quoi dans une PME ?
- Le responsable de traitement (la direction) décide, valide et reste responsable de l’analyse.
- Le métier décrit le traitement tel qu’il fonctionne réellement : c’est lui qui connaît les données collectées et les cas d’usage.
- L’informatique ou le RSSI décrit les mesures de sécurité et évalue les menaces.
- Le DPO conseille et rend un avis écrit, conservé avec l’analyse (voir article 38 sur son indépendance).
- Les sous-traitants fournissent les informations sur leurs mesures, dans le cadre du contrat de l’article 28.
Quand réexaminer l’analyse ?
L’AIPD n’est pas un document figé. Réexaminez-la à chaque changement notable : nouvel outil, nouvelle finalité, nouveau prestataire, extension à de nouvelles catégories de personnes ou incident de sécurité.
Référencez-la dans le registre et fixez dans votre procédure un rythme de revue régulier, pour qu’elle reste exacte au regard du traitement réel.
Ce que la CNIL a sanctionné
| Décision | Montant | Ce qu’il faut retenir |
|---|---|---|
| Discord, 10 novembre 2022 | 800 000 euros (pour l’ensemble des manquements) | La CNIL retient cinq manquements, dont l’absence d’analyse d’impact (article 35). Elle relève aussi des durées de conservation non définies (article 5.1.e), une information incomplète (article 13), la protection des données par défaut (article 25.2) et la sécurité des mots de passe (article 32). |
Cette décision montre que l’absence d’AIPD est sanctionnée en même temps que d’autres manquements : elle s’ajoute aux griefs de sécurité et de conservation plutôt qu’elle ne les remplace. Elle illustre aussi le lien entre l’AIPD et les autres obligations : une analyse sérieuse aurait fait remonter la durée de conservation et la sécurité des accès.
Les questions que je pose en audit
- Quels traitements figurent sur la liste de la CNIL ou remplissent deux critères du CEPD (surveillance des salariés, géolocalisation, données de santé, mineurs, biométrie, scoring, IA) ?
- Pour chacun, existe-t-il une analyse datée d’avant le lancement, et où est-elle conservée ?
- Le DPO a-t-il rendu un avis écrit, et la direction l’a-t-elle suivi ou justifié de ne pas le suivre ?
- Les mesures prévues dans l’analyse ont-elles été mises en œuvre, et qui l’a vérifié ?
- L’analyse a-t-elle été revue depuis le dernier changement d’outil ou de prestataire ?
- Quand vous décidez de ne pas faire d’AIPD, où est consignée la justification ?
- Un nouvel outil (IA, caméras, badgeuse) a-t-il été déployé sans que la question de l’AIPD soit posée ?
Prêt à l’emploi : la grille de décision et le plan de l’analyse
Utilisez cette grille pour chaque nouveau traitement et conservez-la dans le registre, y compris quand la réponse est « non ».
| Critère (CEPD) | Résultat |
|---|---|
| 1. Évaluation ou notation de personnes (scoring, profilage) | Oui / non |
| 2. Décision automatique produisant un effet juridique ou similaire | Oui / non |
| 3. Surveillance systématique (salariés, zone publique) | Oui / non |
| 4. Données sensibles, pénales ou hautement personnelles (voir données sensibles) | Oui / non |
| 5. Traitement à grande échelle | Oui / non |
| 6. Croisement ou combinaison de jeux de données | Oui / non |
| 7. Personnes vulnérables (mineurs, patients, salariés) | Oui / non |
| 8. Usage innovant ou nouvelle technologie (IA, biométrie, objets connectés) | Oui / non |
| 9. Exclusion du bénéfice d’un droit, d’un service ou d’un contrat | Oui / non |
Deux critères remplis ou plus : l’analyse d’impact est à mener. Un seul critère : consignez par écrit pourquoi vous décidez de ne pas la faire.
Pour rédiger l’analyse, reprenez ce plan :
- Description du traitement : finalités, données, personnes, destinataires, durées, sous-traitants.
- Nécessité et proportionnalité : base légale, minimisation, information, exercice des droits.
- Risques : trois événements redoutés (accès illégitime, modification, disparition), impacts, sources, gravité et vraisemblance.
- Mesures : existantes et prévues, avec responsable et échéance.
- Avis du DPO, avis des personnes concernées si recueilli, décision de la direction.
- Risque résiduel et, si besoin, consultation préalable de la CNIL.
Et en Suisse ?
La nLPD impose une analyse d’impact à son article 22 lorsque le traitement présente un risque élevé pour la personnalité ou les droits fondamentaux. L’article 23 prévoit la consultation du PFPDT si le risque reste élevé, sauf si l’entreprise a consulté son conseiller à la protection des données. Notre fiche sur l’analyse d’impact sous la nLPD détaille la démarche.
Ce que je constate en mission. L’AIPD qui manque le plus souvent dans une PME n’est pas celle d’un projet d’IA, mais celle de la vidéosurveillance ou de la badgeuse installées plusieurs années plus tôt sans que personne n’ait consulté la liste de la CNIL. Elle se rattrape avec les bonnes personnes autour de la table, et elle sert ensuite de modèle pour les projets suivants.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Faut-il envoyer l’AIPD à la CNIL ?
Non, sauf consultation préalable lorsque le risque résiduel reste élevé (article 36). L’analyse est conservée et présentée en cas de contrôle.
Une AIPD peut-elle couvrir plusieurs traitements ?
Oui, lorsqu’ils sont similaires : par exemple la vidéosurveillance de plusieurs sites, ou un même outil déployé dans plusieurs entités d’un groupe.
Un logiciel est-il nécessaire ?
Non. L’outil PIA de la CNIL est gratuit, mais un document structuré suffit si les quatre parties sont traitées. Pour comparer les solutions du marché, consultez notre fiche logiciel PIA.
Quelle différence avec le registre ?
Le registre décrit chaque traitement et reste obligatoire pour tous. L’AIPD ne concerne que les traitements à risque élevé et évalue les risques pour les personnes. Consultez notre exemple de registre pour la partie description.
Faire réaliser vos analyses d’impact
Nous menons vos analyses d’impact avec vos équipes, de la qualification à l’avis du DPO. Elles s’intègrent à la mission de DPO externalisé, ou font suite à un audit RGPD.
Sources
- Règlement (UE) 2016/679
- CNIL – Ce qu’il faut savoir sur l’analyse d’impact (AIPD)
- CNIL – Discord Inc. sanctionnée de 800 000 euros
- Fedlex – Loi fédérale sur la protection des données (nLPD)
