Guide pratique — Analyse d'impact (AIPD)
Profilage, données de santé à grande échelle, surveillance systématique : l'article 35 du RGPD impose une analyse d'impact avant tout traitement susceptible d'engendrer un risque élevé. Les trois cas du règlement, les neuf critères européens, la liste de la CNIL, la méthode en trois volets — et pourquoi une TPE avec un site vitrine en est le plus souvent dispensée.
L'AIPD (analyse d'impact relative à la protection des données, ou DPIA) est une étude préalable imposée par l'article 35 du RGPD pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes. Trois cas la rendent systématiquement obligatoire (article 35.3) : évaluation ou profilage automatisé servant de base à des décisions affectant significativement les personnes ; traitement à grande échelle de données sensibles (article 9) ou de condamnations pénales (article 10) ; surveillance systématique à grande échelle d'une zone accessible au public. Hors de ces cas, les neuf critères du CEPD aident à trancher — deux critères remplis suffisent en général — et la CNIL publie les listes des traitements concernés ou dispensés (délibérations 2018-326 et 2018-327 du 11 octobre 2018). Un site vitrine avec formulaire de contact n'en a pas besoin. L'absence d'AIPD obligatoire relève de l'article 83.4 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires.
L'analyse d'impact relative à la protection des données — AIPD en français, DPIA dans le texte anglais du règlement — est une démarche d'anticipation : avant de lancer un traitement de données personnelles, on étudie ses effets sur les personnes et on prévoit comment réduire les risques. L'article 35.1 du RGPD fixe le critère général : l'AIPD est requise lorsqu'un traitement, « en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ».
Le raisonnement tient en trois volets, repris par la méthode de la CNIL : décrire le traitement, apprécier sa nécessité et sa proportionnalité, évaluer les risques et les mesures pour y répondre. L'AIPD n'est pas une formalité administrative : c'est une analyse de risque documentée, menée avant la mise en œuvre, révisée si le traitement évolue. Elle engage le responsable de traitement — vous —, avec l'avis du délégué à la protection des données lorsqu'il en existe un, et l'aide du sous-traitant concerné le cas échéant.
Point de vocabulaire utile : l'AIPD analyse les risques pour les personnes (atteintes à la vie privée, discrimination, préjudice), pas seulement les risques pour l'entreprise (perte de données, image). Un traitement peut être sans danger pour vous et risqué pour vos clients : c'est ce second risque qui compte.
Le règlement liste trois situations où l'analyse d'impact s'impose sans discussion :
Le seuil « à grande échelle » s'apprécie au nombre de personnes concernées, au volume de données, à la durée et à l'étendue géographique du traitement. Un cabinet d'ostéopathie gérant seul ses rendez-vous et son dossier patient n'est pas « à grande échelle » ; une plateforme de santé couvrant un département l'est.
Pour les traitements hors de ces trois cas, le Comité européen de la protection des données (CEPD, qui a succédé au groupe « Article 29 ») a publié des lignes directrices listant neuf critères de risque : évaluation ou notation (scoring), décision automatisée à effet juridique ou significatif, surveillance systématique, données sensibles ou hautement personnelles, traitement à grande échelle, croisement ou combinaison de fichiers, données de personnes vulnérables (salariés, enfants, patients), usage innovant de nouvelles technologies, traitement empêchant l'exercice d'un droit ou l'accès à un service. La règle pratique retenue : un traitement remplissant au moins deux de ces critères nécessite en général une AIPD.
L'article 35.4 charge chaque autorité de contrôle de publier la liste des traitements pour lesquels une AIPD est requise. La CNIL l'a fait par deux délibérations du 11 octobre 2018 : la n° 2018-326, qui adopte des lignes directrices sur les analyses d'impact, et la n° 2018-327, qui fixe la liste des types de traitements soumis à AIPD. Y figurent notamment :
Symétriquement, la CNIL a publié la liste des traitements pour lesquels une AIPD n'est pas requise (publiée au Journal officiel du 22 octobre 2019) : gestion de la paie et des ressources humaines dans le cadre légal, gestion des membres et donateurs d'une association ou d'une fondation, traitements de clientèle courants sans données sensibles ni profilage. Ces listes ne sont pas exhaustives — le critère général du risque élevé prime toujours — mais elles rassurent : l'immense majorité des traitements d'une TPE (site vitrine, formulaire de contact, newsletter, boutique en ligne simple, fichier clients) n'exige pas d'AIPD. Ce qui n'efface pas les autres obligations : information des personnes, registre des traitements, sécurité, durées de conservation.
La méthode publiée par la CNIL structure l'analyse en trois étapes, à documenter dans un dossier qui pourra être produit en cas de contrôle :
Nature, portée, contexte et finalités : quelles données sont collectées, sur quelles personnes, pour quoi faire, par quels moyens. Qui y accède, quels sous-traitants interviennent, où sont stockées les données, combien de temps elles sont conservées, quelles mesures de sécurité existent déjà. C'est l'inventaire factuel du traitement.
Le traitement est-il fondé sur une base légale valable ? Collecte-t-il uniquement les données nécessaires à sa finalité (minimisation) ? Les durées de conservation sont-elles justifiées ? Les personnes sont-elles informées et peuvent-elles exercer leurs droits ? Cette étape vérifie que le traitement respecte les principes du RGPD indépendamment de tout risque.
On imagine les scénarios d'atteinte aux droits et libertés des personnes — divulgation, modification ou disparition des données, usages détournés, discrimination —, on les cote en probabilité et en gravité, puis on définit pour chacun des mesures de réduction : chiffrement, pseudonymisation, limitation des accès, procédures d'alerte. L'AIPD se conclut par un constat documenté : le traitement peut être mis en œuvre avec les mesures prévues, ou le risque résiduel reste élevé — auquel cas la consultation préalable de la CNIL est obligatoire avant de lancer le traitement (article 36).
Deux alliés gratuits : la CNIL publie des modèles d'AIPD et un logiciel libre, PIA, qui guide la démarche étape par étape et génère le document final. L'avis du DPO doit être recueilli lorsqu'il existe, et le point de vue des personnes concernées — ou de leurs représentants, par exemple les représentants du personnel pour un traitement RH — sollicité lorsque c'est possible.
La confusion est fréquente. Le registre des traitements (article 30) est un inventaire général : il recense tous les traitements de l'organisation, décrits synthétiquement — finalités, catégories de données, destinataires, durées, mesures de sécurité. Il est obligatoire pour toute organisation dès lors que ses traitements ne sont pas occasionnels : un simple formulaire de contact suffit. L'AIPD (article 35) est une analyse de risque approfondie, traitement par traitement, réservée aux seuls traitements susceptibles d'engendrer un risque élevé, et réalisée avant leur mise en œuvre.
En pratique, les deux s'articulent : c'est en tenant son registre qu'on repère les traitements candidats à une AIPD — et c'est l'AIPD qui documente en détail ceux qui le nécessitent. Autre différence : l'absence de registre et l'absence d'AIPD obligatoire relèvent toutes deux de l'article 83.4 du RGPD — amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu — mais pour une TPE dont aucun traitement n'exige d'AIPD, seul le registre reste une obligation de fond.
Pour savoir où vous en êtes, commencez par le scan gratuit MonKitLégal : il cartographie en 2 minutes les données et traceurs collectés par votre site. Le kit à 9 € génère ensuite le registre des traitements pré-rempli — le document de base qui permet de vérifier, critères CEPD en main, qu'aucun de vos traitements n'appelle une AIPD — avec politique de confidentialité, mentions légales, CGU/CGV et bandeau cookies.
L'AIPD — DPIA en anglais — est une étude préalable imposée par l'article 35 du RGPD pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes. Réalisée avant la mise en œuvre du traitement, elle décrit le traitement et ses finalités, évalue sa nécessité et sa proportionnalité au regard de sa finalité, puis identifie les risques pour les personnes et les mesures pour les réduire. L'objectif n'est pas de faire disparaître tout risque mais de démontrer une démarche d'anticipation et de traitement documentée des risques identifiés. L'AIPD se distingue du registre des traitements : le registre recense tous les traitements de manière synthétique (article 30), l'AIPD analyse en profondeur un seul traitement à risque élevé.
L'article 35.3 du RGPD impose systématiquement une AIPD dans trois cas : une évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ou affectant significativement la personne ; un traitement à grande échelle de données sensibles (article 9 : santé, opinions, biométrie…) ou de données relatives aux condamnations pénales (article 10) ; une surveillance systématique à grande échelle d'une zone accessible au public. En dehors de ces cas, la règle générale de l'article 35.1 s'applique : AIPD dès qu'un traitement est susceptible d'engendrer un risque élevé. Le CEPD a fixé neuf critères d'appréciation — un traitement en remplissant au moins deux nécessite en général une AIPD — et la CNIL publie une liste de traitements pour lesquels elle est requise (délibération n° 2018-327 du 11 octobre 2018).
En général, non. Un site vitrine avec formulaire de contact, une newsletter ou une boutique en ligne classique ne relèvent ni des trois cas de l'article 35.3, ni des listes de la CNIL, ni d'un cumul de critères de risque élevé. L'AIPD devient en revanche pertinente dès que le traitement monte en puissance : scoring ou profilage client alimentant des décisions, traitement de données de santé à grande échelle, vidéosurveillance étendue, géolocalisation systématique des salariés ou des clients, croisement de fichiers à grande échelle, recours à des technologies innovantes sur des données personnelles. Les traitements courants de gestion (paie dans un cadre légal, gestion des membres d'une association, clientèle de base) figurent d'ailleurs sur la liste CNIL des traitements pour lesquels une AIPD n'est pas requise.
La méthode de la CNIL comporte trois volets. D'abord, décrire le traitement : nature, portée, contexte et finalités, données traitées, personnes concernées, destinataires et sous-traitants, mesures de sécurité existantes. Ensuite, apprécier la nécessité et la proportionnalité : base légale, minimisation des données, durées de conservation, exercice des droits des personnes. Enfin, évaluer les risques pour les droits et libertés — probabilité et gravité des atteintes envisageables — et prévoir les mesures pour y faire face. Il faut recueillir l'avis du DPO s'il existe, et solliciter le point de vue des personnes concernées ou de leurs représentants lorsque c'est possible. La CNIL publie des modèles d'AIPD et un logiciel libre et gratuit, PIA, qui guide la démarche et produit le document final. Si le risque résiduel reste élevé malgré les mesures, une consultation préalable de la CNIL est obligatoire (article 36).
Les deux documents sont obligatoires mais de nature différente. Le registre des traitements (article 30 du RGPD) est un inventaire général : il recense l'ensemble des traitements de l'organisation, avec pour chacun finalités, catégories de données, destinataires, durées et mesures de sécurité — la dispense pour les organismes de moins de 250 salariés ne vaut que pour les traitements occasionnels. L'AIPD (article 35) est une analyse de risque approfondie, limitée aux seuls traitements susceptibles d'engendrer un risque élevé, réalisée avant leur mise en œuvre. Les deux se complètent : le registre permet justement d'identifier les traitements candidats à une AIPD, et l'AIPD vient documenter en détail ceux qui le nécessitent. L'absence d'AIPD obligatoire relève de l'article 83.4 : amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel.
Le scan gratuit cartographie les données collectées par votre site. Le kit à 9 € génère le registre des traitements pré-rempli — la base pour vérifier si l'un de vos traitements exige une AIPD — avec politique de confidentialité, mentions légales, CGU/CGV et bandeau cookies.
Analyser mon site gratuitement