L’article 35 du RGPD impose une analyse d’impact relative à la protection des données (AIPD) avant tout traitement susceptible d’engendrer un risque élevé pour les personnes, en particulier le profilage avec décision, le traitement à grande échelle de données sensibles ou pénales, et la surveillance systématique d’une zone publique. La CNIL a publié la liste des traitements pour lesquels l’AIPD est obligatoire et celle pour lesquels elle ne l’est pas. L’analyse décrit le traitement, en évalue la nécessité et la proportionnalité, identifie les risques et les mesures, et se mène avec l’avis du DPO.
L’essentiel
- Obligatoire pour les traitements à risque élevé : trois cas dans le texte, précisés par neuf critères du CEPD et une liste CNIL de 14 types de traitements.
- Contenu : description, nécessité et proportionnalité, risques pour les personnes, mesures.
- Le DPO donne son avis ; les personnes concernées ou leurs représentants sont consultés si possible.
- Si le risque résiduel reste élevé, consultation préalable de la CNIL (article 36).
Ce que dit l’article 35
| Paragraphe | Ce que dit le texte |
|---|---|
| 35.1 – Principe | Lorsqu’un traitement, en particulier par le recours à de nouvelles technologies, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, le responsable effectue, avant le traitement, une analyse d’impact. Une seule analyse peut porter sur un ensemble de traitements similaires. |
| 35.2 – DPO | Le responsable demande conseil au délégué à la protection des données. |
| 35.3 – Cas obligatoires | L’analyse est requise notamment en cas : (a) d’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ou similaires ; (b) de traitement à grande échelle de données sensibles ou pénales ; (c) de surveillance systématique à grande échelle d’une zone accessible au public. |
| 35.4 et 35.5 – Listes | L’autorité de contrôle publie la liste des traitements soumis à l’analyse et peut publier celle des traitements exemptés. |
| 35.7 – Contenu | L’analyse contient au moins : une description systématique des opérations et des finalités ; une évaluation de la nécessité et de la proportionnalité ; une évaluation des risques pour les personnes ; les mesures envisagées pour faire face aux risques, y compris les garanties et mécanismes de sécurité. |
| 35.9 et 35.11 | Le responsable demande l’avis des personnes concernées ou de leurs représentants le cas échéant ; il réexamine l’analyse si les risques évoluent. |
Ce que cela change pour une PME
Savoir si vous êtes concerné
La liste de la CNIL compte 14 types de traitements, dont : données de santé par les établissements de santé, profilage à des fins RH, surveillance des salariés, géolocalisation, données de mineurs, données biométriques, scoring de crédit, gestion des alertes professionnelles, profilage marketing à grande échelle. Les neuf critères du CEPD (évaluation ou notation, décision automatique, surveillance, données sensibles, grande échelle, croisement de données, personnes vulnérables, usage innovant, exclusion d’un droit) complètent la lecture : deux critères remplis déclenchent en général l’analyse.
Appliquer une méthode, pas une inspiration
La CNIL fournit une méthode en quatre parties et un logiciel gratuit (PIA) ; une PME peut aussi mener l’analyse dans un document structuré. Les étapes sont détaillées dans notre guide comment faire une analyse d’impact RGPD.
Impliquer le DPO et les métiers
Le DPO rend un avis écrit, qui est conservé avec l’analyse ; les services qui opèrent le traitement décrivent les opérations réelles ; l’informatique décrit les mesures. Une AIPD rédigée par une seule personne depuis son bureau ne résiste pas à un contrôle.
Faire vivre l’analyse
L’AIPD se réexamine à chaque changement notable du traitement (nouvel outil, nouvelle finalité, nouveau prestataire) et au moins tous les trois ans. Elle se référence dans le registre.
Ne pas confondre avec l’analyse de risques sécurité
L’AIPD évalue les risques pour les personnes (accès illégitime, modification, disparition des données) ; l’analyse de risques de type EBIOS évalue les risques pour l’organisation. Les deux se nourrissent, mais une analyse de sécurité ne vaut pas AIPD.
Ce que la CNIL a sanctionné sur ce fondement
| Décision ou pratique | Montant / nature | Ce qu’il faut retenir |
|---|---|---|
| Discord, 10 novembre 2022 | 800 000 euros (toutes causes) | Absence d’analyse d’impact alors que le volume de données et les fonctionnalités (messagerie vocale, enregistrement) le justifiaient ; la CNIL retient le manquement à l’article 35 parmi cinq manquements. |
| Contrôles sectoriels | Pratique constante | Dans les secteurs de la liste CNIL (santé, surveillance des salariés, vidéosurveillance « augmentée », géolocalisation), l’absence d’AIPD est systématiquement relevée lors des contrôles, souvent avec une mise en demeure publique. |
L’absence d’AIPD est rarement sanctionnée seule, mais elle aggrave toute autre décision : elle montre que l’entreprise n’a pas identifié ses risques avant de traiter.
Les questions que je pose en audit
- Vos traitements figurent-ils dans la liste CNIL des traitements soumis à AIPD (surveillance des salariés, géolocalisation, données de santé, mineurs, biométrie, scoring) ?
- Pour chacun, une analyse a-t-elle été menée avant le lancement, et où est-elle ?
- Le DPO a-t-il rendu un avis écrit ?
- Les mesures prévues dans l’analyse ont-elles été mises en œuvre, et qui l’a vérifié ?
- L’analyse a-t-elle été réexaminée depuis le dernier changement d’outil ?
- Avez-vous déployé un nouvel outil (IA, vidéosurveillance, badgeuse) sans vous poser la question de l’AIPD ?
Prêt à l’emploi : le test en neuf critères
| Critère (CEPD) | Résultat |
|---|---|
| 1. Évaluation ou notation de personnes (scoring, profilage) | Oui / non |
| 2. Décision automatique produisant un effet juridique ou similaire | Oui / non |
| 3. Surveillance systématique (salariés, zone publique) | Oui / non |
| 4. Données sensibles, pénales ou hautement personnelles (localisation, finances) | Oui / non |
| 5. Traitement à grande échelle (nombre de personnes, volume, durée, étendue géographique) | Oui / non |
| 6. Croisement ou combinaison de jeux de données | Oui / non |
| 7. Personnes vulnérables (mineurs, patients, salariés, demandeurs d’asile) | Oui / non |
| 8. Usage innovant ou nouvelle technologie (IA, biométrie, objets connectés) | Oui / non |
| 9. Exclusion du bénéfice d’un droit, d’un service ou d’un contrat | Oui / non |
Deux critères remplis ou plus : l’analyse d’impact est à mener. Un seul critère : à justifier par écrit dans le registre si l’on décide de ne pas la faire.
Et en Suisse ?
La nLPD impose une analyse d’impact à son article 22 lorsque le traitement présente un risque élevé pour la personnalité ou les droits fondamentaux, avec les mêmes cas types (données sensibles à grande échelle, surveillance systématique de l’espace public), et une consultation du PFPDT si le risque résiduel reste élevé, sauf si le conseiller à la protection des données a été consulté (article 23). Notre fiche sur l’analyse d’impact sous la nLPD en donne le détail.
Ce que je constate en mission. L’AIPD qui manque le plus souvent dans les PME n’est pas celle d’un projet d’IA, mais celle de la vidéosurveillance ou de la badgeuse installées il y a trois ans sans que personne n’ait vérifié la liste de la CNIL. Elle se rattrape en une journée avec le logiciel PIA et les bonnes personnes autour de la table, et elle sert ensuite de modèle pour tous les projets suivants.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Faut-il envoyer l’AIPD à la CNIL ?
Non, sauf consultation préalable lorsque le risque résiduel reste élevé (article 36). Elle est conservée et présentée en cas de contrôle.
Une AIPD peut-elle couvrir plusieurs traitements ?
Oui, lorsqu’ils sont similaires : par exemple la vidéosurveillance de plusieurs sites ou un même outil déployé dans plusieurs entités d’un groupe.
Combien de temps prend une AIPD ?
D’une journée pour un traitement standard (vidéosurveillance) à plusieurs semaines pour un système complexe (IA, données de santé à grande échelle), selon le nombre de services et de prestataires impliqués.
Mener vos analyses d’impact
Nous réalisons les analyses d’impact avec vos équipes, de la qualification à l’avis du DPO ; elles sont incluses dans l’abonnement DPO externalisé et peuvent être menées à la suite d’un audit RGPD.
Sources
- Règlement (UE) 2016/679
- CNIL – Ce qu’il faut savoir sur l’analyse d’impact (AIPD)
- CNIL – Liste des traitements soumis à AIPD
- CNIL – Les sanctions prononcées
