AIPD (PIA) RGPD : quand et comment la realiser

Qu est-ce qu une AIPD et pourquoi est-elle obligatoire

L analyse d impact relative a la protection des donnees (AIPD), aussi appelee PIA (Privacy Impact Assessment), est un outil central du RGPD. Prevue par l article 35 du reglement, elle permet d identifier et de minimiser les risques lies aux traitements de donnees personnelles. L AIPD n est pas une simple formalite administrative : c est une demarche concrete qui protege les droits des personnes concernees et demontre la conformite de votre organisme. La CNIL considere l AIPD comme un element essentiel de la responsabilisation des responsables de traitement.

L AIPD doit etre realisee avant la mise en oeuvre du traitement concerne. Elle constitue un prealable indispensable pour tout traitement susceptible d engendrer un risque eleve pour les droits et libertes des personnes physiques. Ne pas realiser une AIPD lorsqu elle est obligatoire expose l organisme a des sanctions pouvant atteindre 10 millions d euros ou 2 % du chiffre d affaires annuel mondial.

Dans quels cas l AIPD est-elle obligatoire

L article 35 du RGPD prevoit trois situations principales ou l AIPD est requise. Premierement, l evaluation systematique et approfondie d aspects personnels, y compris le profilage, lorsqu elle produit des effets sur les personnes. Deuxiemement, le traitement a grande echelle de categories particulieres de donnees (donnees de sante, biometriques, opinions politiques) ou de donnees relatives aux condamnations penales. Troisiemement, la surveillance systematique a grande echelle d une zone accessible au public, comme la videoprotection.

La CNIL a publie une liste de traitements pour lesquels une AIPD est obligatoire. On y retrouve notamment les traitements de donnees de sante a grande echelle, les dispositifs de geolocalisation des salaries, les traitements biometriques sur le lieu de travail, les systemes de notation ou scoring des personnes, et les traitements croisant des bases de donnees a grande echelle. Si votre traitement repond a au moins deux des neuf criteres du Comite europeen de la protection des donnees (CEPD), une AIPD est fortement recommandee.

Les etapes de realisation d une AIPD

1. Description du traitement

La premiere etape consiste a decrire precisement le traitement : sa finalite, les categories de donnees collectees, les personnes concernees, les destinataires, la duree de conservation et les transferts eventuels. Cette description doit etre suffisamment detaillee pour permettre l evaluation des risques. Il est recommande de s appuyer sur le registre des traitements pour cette etape.

2. Evaluation de la necessite et de la proportionnalite

Cette etape verifie que le traitement est necessaire et proportionnel a la finalite poursuivie. Vous devez vous assurer que la base legale est valide, que les donnees collectees sont strictement necessaires (minimisation), que la duree de conservation est justifiee et que les personnes concernees sont correctement informees. L exercice des droits (acces, rectification, effacement, opposition) doit etre garanti.

3. Identification et evaluation des risques

Il s agit d identifier les risques pour les droits et libertes des personnes. Les risques sont evalues selon deux axes : la gravite de l impact potentiel et la vraisemblance de l evenement. Les principaux risques a considerer sont l acces illegitime aux donnees, la modification non desiree des donnees et la disparition des donnees. Pour chaque risque, evaluez les sources de menaces (internes et externes), les evenements redoutes et les impacts sur les personnes.

4. Mesures pour traiter les risques

Une fois les risques identifies, vous devez definir des mesures pour les reduire a un niveau acceptable. Ces mesures peuvent etre techniques (chiffrement, pseudonymisation, controle d acces, journalisation, sauvegardes) ou organisationnelles (formation du personnel, politique de securite, procedures de gestion des incidents, audits reguliers). L objectif est de ramener le risque residuel a un niveau acceptable.

L outil PIA de la CNIL

La CNIL met a disposition un logiciel gratuit et open source pour realiser vos AIPD : l outil PIA. Ce logiciel guide l utilisateur a travers les differentes etapes de l analyse d impact. Il permet de decrire le traitement, d evaluer la necessite et la proportionnalite, d identifier les risques et de documenter les mesures prises. L outil genere un rapport complet qui peut etre presente en cas de controle. Il est disponible en version web et en version bureau.

Consultation prealable de la CNIL

Lorsque l AIPD revele un risque residuel eleve que le responsable de traitement ne parvient pas a reduire par des mesures appropriees, il est tenu de consulter la CNIL avant de mettre en oeuvre le traitement. Cette consultation prealable, prevue par l article 36 du RGPD, permet a la CNIL d examiner le traitement et de formuler des recommandations. La CNIL dispose d un delai de huit semaines (renouvelable une fois) pour repondre.

Les erreurs frequentes lors de la realisation d une AIPD

Plusieurs erreurs reviennent regulierement dans les AIPD. La premiere est de realiser l AIPD apres la mise en oeuvre du traitement, alors qu elle doit etre realisee en amont. La deuxieme est de la considerer comme un exercice ponctuel : l AIPD doit etre revue et mise a jour regulierement, notamment en cas de modification du traitement. La troisieme erreur est de ne pas impliquer les parties prenantes (DPO, equipes metier, sous-traitants). Enfin, certaines AIPD restent trop superficielles et ne decrivent pas suffisamment les risques reels pour les personnes concernees.

Bonnes pratiques pour une AIPD reussie

Pour reussir votre AIPD, commencez par impliquer le DPO des le debut du projet. Documentez chaque etape de maniere detaillee et conservez toutes les pieces justificatives. Consultez les personnes concernees ou leurs representants lorsque c est possible. Integrez l AIPD dans votre demarche de Privacy by Design : anticipez les risques des la conception du traitement. Planifiez une revision periodique de l AIPD, au minimum tous les trois ans ou a chaque modification significative du traitement. Formez les equipes impliquees dans le traitement aux enjeux de la protection des donnees.

Article redige par Laurent de Cavel, DPO certifie. Pour toute question sur la realisation d une AIPD, contactez notre equipe sur dpo-france.com.