AIPD obligatoire : critères, méthode et outil PIA

Analyse d’impact RGPD · Méthode de DPO

Mis à jour le 8 novembre 2026

L’analyse d’impact relative à la protection des données (AIPD, aussi appelée PIA ou DPIA) est obligatoire dès qu’un traitement risque de porter sérieusement atteinte aux droits et libertés des personnes, et elle doit être faite avant sa mise en œuvre. Sur le terrain, les choses coincent précisément à ce moment : l’analyse arrive après coup, recopiée d’un modèle, puis rangée dans un dossier que personne ne rouvre.

A lire aussi sur DPO PARTAGE

DPO SUITE : identifier les agents d’IA et retrouver les traitements concernés

Entreprise canadienne : faut-il un représentant RGPD en Europe ?

Tutoriel entreprise : utiliser Microsoft 365 Copilot avec vos documents internes dans le respect du RGPD

Voici de quoi trancher trois questions : devez-vous faire une AIPD, comment la mener, et avec quel outil.

Ce que l’AIPD doit démontrer

Une AIPD est une analyse de risques centrée sur les personnes concernées : elle mesure ce que le traitement peut leur faire subir. L’article 35 du RGPD l’impose lorsqu’un traitement, « en particulier par le recours à de nouvelles technologies », est susceptible d’engendrer un risque élevé, et le responsable de traitement l’effectue « avant le traitement ». Une seule analyse peut couvrir plusieurs opérations similaires présentant des risques similaires : un réseau de centres qui déploie le même logiciel n’a pas à produire une AIPD par site.

Les lignes directrices du CEPD la présentent comme un outil d’aide à la décision. Bien faite, elle montre ce que vous avez envisagé, écarté, et pourquoi. Le manquement aux règles sur l’AIPD peut coûter jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, rappelle la CNIL.

Quand l’AIPD est obligatoire : trois portes d’entrée

Une seule porte suffit : un cas de l’article 35.3 du RGPD, un type d’opération inscrit sur la liste de la CNIL, ou au moins deux critères du CEPD.

Les cas cités par l’article 35.3

Le règlement vise l’évaluation systématique et approfondie de personnes, fondée sur un traitement automatisé et débouchant sur des décisions qui les affectent de manière significative ; le traitement à grande échelle de données sensibles ou d’infractions ; la surveillance systématique à grande échelle d’une zone accessible au public.

La liste CNIL des 14 types de traitements soumis à AIPD

Publiée en novembre 2018, cette liste clôt la discussion si votre traitement y figure. Elle couvre, en résumé :

santé dans les établissements de santé ou médico-sociaux ;
données génétiques de personnes vulnérables ;
profilage à des fins de ressources humaines ;
surveillance constante de l’activité des employés ;
alertes et signalements en matière sociale, sanitaire ou professionnelle (deux lignes distinctes) ;
entrepôts de données de santé et registres ;
profilage pouvant exclure d’un contrat, et fichiers mutualisés de manquements contractuels ;
profilage à partir de sources externes ;
biométrie d’identification visant notamment des personnes vulnérables ;
logement social, accompagnement social ou médico-social ;
localisation à large échelle.

Lisez la colonne des exemples du document CNIL, souvent plus parlante que les intitulés : vidéosurveillance d’employés manipulant de l’argent, chronotachygraphe, dispositif d’alerte professionnelle, score d’octroi de crédit.

Les neuf critères du CEPD et la règle des deux critères

Hors liste, on applique les neuf critères des lignes directrices WP 248, reprises par le CEPD. Deux critères remplis justifient dans la plupart des cas une AIPD, et un seul peut suffire si le risque paraît élevé.

Les neuf critères du CEPD illustrés par un exemple concret. Deux critères remplis justifient en principe une AIPD.
Critère CEPD	Exemple concret
1. Évaluation, scoring	Score de risque calculé à partir d’un questionnaire de santé.
2. Décision automatisée	Outil de recrutement qui écarte d’office les candidatures sous un seuil.
3. Surveillance	Analyse des courriels sortants par un outil anti-fuite (DLP).
4. Données sensibles	Dossier médical d’un service de santé au travail.
5. Grande échelle	Portail usagers d’une collectivité, fichier clients national.
6. Croisement	Fichier d’adhérents enrichi avec une base achetée à un courtier.
7. Vulnérables	Résidents d’EHPAD, élèves, patients, salariés face à l’employeur.
8. Innovation	Assistant d’IA de transcription, lunettes connectées.
9. Exclusion d’un droit	Refus de crédit, de logement social ou d’un contrat d’assurance.

Cochez les critères d’après le fonctionnement réel du traitement, flux et prestataires compris, plutôt que d’après la plaquette de l’éditeur. Un logiciel de planning anodin devient un traitement de données de santé dès qu’un champ libre « motif de l’absence » y apparaît.

Les traitements dispensés d’AIPD

Adoptée en septembre 2019 après avis du CEPD, une seconde liste de la CNIL recense douze types de traitements dispensés : gestion du personnel des organismes de moins de 250 personnes sans profilage, relation fournisseurs, fichier électoral des communes, membres et donateurs d’une association sans données sensibles, patientèle d’un professionnel de santé exerçant à titre individuel, services scolaires et périscolaires, contrôle d’accès et horaires sans biométrie, entre autres.

Chaque ligne a ses conditions. Dès que la badgeuse passe à l’empreinte digitale ou que la gestion RH introduit du profilage, l’exemption tombe. La dispense ne touche d’ailleurs que l’AIPD : la sécurité et les autres obligations du RGPD restent dues.

Mener une AIPD étape par étape

L’article 35.7 du RGPD fixe quatre blocs minimaux, que complètent l’avis du DPO et, si besoin, la consultation de la CNIL. Le CEPD insiste : chaque étape sera reprise plusieurs fois avant que l’analyse soit finalisée.

Décrire le traitement. Finalités, données, personnes, destinataires, durées, supports, sous-traitants, et l’intérêt légitime s’il sert de base. Test : une personne extérieure au projet doit pouvoir dessiner les flux à partir de votre texte. Le sous-traitant doit vous aider, demandez-lui les informations par écrit.
Évaluer nécessité et proportionnalité. Base légale, minimisation, durées, information, exercice des droits, transferts. Pour chaque champ collecté : que se passerait-il sans lui ? Si la réponse est « rien », il disparaît.
Apprécier les risques pour les personnes. Accès non autorisé, modification non voulue, perte : pour chacun, gravité et vraisemblance. Si vous pratiquez EBIOS Risk Manager, voyez notre article sur l’articulation entre EBIOS Risk Manager et l’AIPD.
Arrêter les mesures. Chiffrement, habilitations, journalisation, pseudonymisation, clauses, purge. Chaque mesure a un responsable et une échéance, sinon elle n’abaisse aucun risque. On réévalue ensuite le risque résiduel.
Recueillir l’avis du DPO. L’article 35.2 l’impose et l’article 39 charge le DPO de vérifier l’exécution de l’AIPD. Consignez son avis, et la justification si la direction ne le suit pas. Le cas échéant, demandez aussi l’avis des personnes ou de leurs représentants, par exemple le CSE pour un outil de surveillance.
Consulter la CNIL si le risque résiduel reste élevé. L’article 36 impose cette consultation avant le lancement, via le téléservice de soumission d’une AIPD. La CNIL a huit semaines pour rendre un avis écrit, prolongeables de six : inscrivez ce délai dès le planning initial.

Trois erreurs de terrain qui vident une AIPD de sa valeur

Les AIPD que nous relisons échouent rarement sur la forme. Elles échouent parce qu’elles décrivent un traitement théorique ou arrivent trop tard pour changer quoi que ce soit. Les situations ci-dessous, anonymisées, reviennent d’un organisme à l’autre.

L’AIPD rédigée après la mise en production Ce que l’on voit : le logiciel tourne depuis des mois et l’AIPD est rédigée parce qu’un audit approche. Ce que cela signifie : elle ne peut plus influencer les choix : contrat signé, hébergement figé, données collectées. La version conforme : l’AIPD démarre au cahier des charges et l’avis du DPO est daté avant la recette. Pour vérifier : comparez la date de l’avis du DPO avec la date de mise en service inscrite au registre.

L’AIPD copiée d’un modèle Ce que l’on voit : un document très complet, fourni par l’éditeur, avec le nom d’un autre organisme oublié en pied de page. Ce que cela signifie : vos habilitations, vos postes partagés et votre hébergeur n’y figurent pas. La version conforme : le modèle sert de trame et chaque section est réécrite à partir de vos flux et de vos contrats. Pour vérifier : prenez trois mesures citées et demandez à la DSI la preuve de chacune.

L’AIPD jamais révisée Ce que l’on voit : l’analyse date du déploiement, alors que le prestataire a changé et qu’un module d’IA a été activé. Ce que cela signifie : l’article 35.11 impose un réexamen au moins quand le risque change. L’AIPD décrit un traitement qui n’existe plus. La version conforme : une date de revue est fixée, et tout changement significatif ou incident déclenche une mise à jour. Pour vérifier : listez les changements depuis la dernière version et cherchez-les dans l’AIPD.

Les traitements de santé confiés à une IA cumulent souvent ces travers, comme le montre notre analyse AIPD et données de santé confiées à une IA.

DPO FRANCE Votre AIPD tiendrait-elle face à un contrôle ? Un DPO de DPO FRANCE relit votre analyse d’impact et vous dit ce qu’il faut corriger avant la mise en production. Faire relire mon AIPD

Quiz : AIPD obligatoire ou non ?

Question 1. Une PME de 80 salariés gère sa paie avec un logiciel classique, sans profilage.

A. AIPD obligatoire.

Pas tout à fait. La bonne réponse est B. Ce traitement figure sur la liste CNIL des traitements dispensés.

B. AIPD non requise.

Bien vu. Ce traitement figure sur la liste CNIL des traitements dispensés.

C. AIPD obligatoire car les salariés sont vulnérables.

Pas tout à fait. La bonne réponse est B. Ce traitement figure sur la liste CNIL des traitements dispensés.

Question 2. Un établissement de santé déploie un nouveau dossier patient.

A. AIPD obligatoire.

Bien vu. Le dossier patient figure sur la liste CNIL des AIPD requises, sans seuil.

B. Non requise si l’hébergeur est certifié HDS.

Pas tout à fait. La bonne réponse est A. Le dossier patient figure sur la liste CNIL des AIPD requises, sans seuil.

C. Obligatoire au-delà de 10 000 patients.

Pas tout à fait. La bonne réponse est A. Le dossier patient figure sur la liste CNIL des AIPD requises, sans seuil.

Question 3. Votre AIPD conclut à un risque résiduel élevé.

A. Vous lancez le traitement.

Pas tout à fait. La bonne réponse est B. L’article 36 du RGPD impose la consultation préalable.

B. Vous consultez la CNIL avant le lancement.

Bien vu. L’article 36 du RGPD impose la consultation préalable.

C. Le DPO signe à la place de la direction.

Pas tout à fait. La bonne réponse est B. L’article 36 du RGPD impose la consultation préalable.

Votre score

3 sur 3 : vérifiez maintenant que vos AIPD existantes sont à jour. 2 sur 3 : relisez les deux listes de la CNIL avec votre registre sous les yeux. 0 ou 1 : faites revoir vos traitements à risque par votre DPO avant le prochain projet.

Outil PIA de la CNIL ou logiciel AIPD : comment choisir

Pour une première AIPD ou quelques analyses, le logiciel PIA de la CNIL suffit. Un logiciel de conformité prend le relais quand les AIPD se multiplient et doivent rester cohérentes avec le registre.

Ce que fait l’outil PIA de la CNIL

Gratuit et sous licence libre, PIA existe en version de bureau (Windows, Linux, macOS) et en version web à installer sur vos serveurs. Il déroule la méthode de la CNIL, s’appuie sur une base de connaissances tirée du RGPD et des guides de la CNIL, visualise l’état des risques et fonctionne en vingt langues. La CNIL signale elle-même deux limites : un export PDF de qualité variable selon le navigateur, et des mises à jour manuelles en version web.

Le CEPD a soumis à consultation, jusqu’au 9 juin 2026, un modèle européen d’AIPD. La CNIL a précisé que les AIPD existantes demeurent valides et que ses outils, PIA compris, restent pleinement utilisables.

Quand un logiciel comme DPO Suite devient utile

Une AIPD isolée vieillit vite, parce qu’elle décrit des sous-traitants, des logiciels et des mesures qui vivent ailleurs : registre, contrats, journal des violations. Nous avons conçu dans cette logique DPO Suite, qui réunit registre, violations, demandes de droits, sous-traitants, AIPD et audits AI Act et NIS2. Son intérêt se mesure pour un DPO qui suit plusieurs organismes ou une structure qui mène de nombreuses analyses. Avec une ou deux AIPD, l’outil de la CNIL reste un excellent choix. Nos critères sont détaillés dans Logiciel AIPD : bien choisir l’outil de vos analyses d’impact.

DPO FRANCE Besoin d’un DPO pour piloter vos analyses d’impact ? Nos DPO à temps partagé repèrent les traitements soumis à AIPD, conduisent l’analyse avec vos équipes et la maintiennent à jour. Parler à un DPO

Découvrez aussi notre offre de DPO à temps partagé ou l’Audit Flash gratuit.

Sources officielles consultées

Questions fréquentes

Une AIPD est-elle obligatoire pour tous les traitements ?

Non, seulement pour les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes.C’est le cas si le traitement figure sur la liste CNIL des 14 types d’opérations, relève de l’article 35.3 du RGPD ou remplit au moins deux des neuf critères du CEPD. En cas de doute, la CNIL recommande de la réaliser.

Quelle différence entre AIPD, PIA et DPIA ?

Aucune sur le fond : AIPD est le terme français du RGPD, DPIA son équivalent anglais et PIA le nom de la méthode et du logiciel de la CNIL.

Qui doit réaliser l’AIPD, le DPO ou le responsable de traitement ?

L’AIPD relève du responsable de traitement, qui doit demander conseil au DPO lorsqu’il en a désigné un.Le DPO conseille et vérifie l’exécution de l’analyse (article 39 du RGPD), sans la signer à la place de la direction.

Faut-il envoyer son AIPD à la CNIL ?

Non, sauf si le risque résiduel reste élevé malgré les mesures : la CNIL doit alors être consultée avant le lancement du traitement (article 36 du RGPD).Elle dispose de huit semaines pour rendre un avis écrit, prolongeables de six semaines. Dans les autres cas, l’AIPD reste dans votre documentation.

L’outil PIA de la CNIL est-il gratuit ?

Oui, le logiciel PIA est gratuit et publié sous licence libre, en version de bureau (Windows, Linux, macOS) ou en version web à installer sur vos serveurs.

Que risque-t-on sans AIPD alors qu’elle était obligatoire ?

Une amende pouvant atteindre 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.