L’AIPD, ou analyse d’impact relative à la protection des données, s’impose avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’article 35 du règlement général sur la protection des données (RGPD) le prévoit depuis 2018. Sur le terrain, la difficulté arrive pourtant plus tôt : savoir si le projet entre dans le champ, qui rédige, et à quel moment le DPO donne son avis.
Une AIPD absente coûte cher : le manquement expose à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial d’une entreprise. Une analyse bâclée laisse ensuite passer les risques qu’elle devait repérer. Suivez donc ce guide dans l’ordre de votre projet, de la qualification du traitement jusqu’à la mise à jour.
AIPD, DPIA, PIA : un seul outil d’analyse de risques
Les trois sigles désignent en effet la même démarche. La Commission nationale de l’informatique et des libertés (CNIL) le précise : AIPD est le terme français, DPIA (Data Protection Impact Assessment) celui de la version anglaise du RGPD, et PIA (Privacy Impact Assessment) le terme courant hors d’Europe. PIA désigne également le logiciel que la CNIL met à disposition.
L’analyse d’impact RGPD mesure ce que le traitement peut faire subir aux personnes concernées. La CNIL décrit chaque risque comme un scénario : un événement redouté, c’est-à-dire une atteinte à la confidentialité, à l’intégrité ou à la disponibilité des données, et les menaces qui le rendraient possible. Chaque scénario reçoit ensuite une note de gravité et une note de vraisemblance. Selon la CNIL, la gravité s’apprécie du point de vue des personnes.
Le contenu minimal figure à l’article 35.7 du RGPD. L’analyse décrit d’abord le traitement et ses finalités, évalue sa nécessité et sa proportionnalité, évalue les risques pour les droits et libertés, puis fixe les mesures pour y faire face. Une seule AIPD peut aussi couvrir plusieurs opérations similaires aux risques similaires. Par exemple, la CNIL admet une analyse commune pour des collectivités qui installent chacune un système de vidéosurveillance comparable.
Avant d’ouvrir un modèle, posez donc une question simple : qui subirait le dommage si ces données fuitaient, étaient modifiées ou disparaissaient ? La réponse fixe le point de vue de toute l’analyse.
Quand une AIPD est-elle obligatoire ?
Tout repose d’abord sur une notion : le risque élevé pour les droits et libertés des personnes. Pour le repérer, la CNIL propose un ordre de lecture que nous appliquons avec nos clients :
- Vérifiez si le traitement figure sur la liste des traitements dispensés d’AIPD, adoptée par la CNIL le 12 septembre 2019.
- Sinon, cherchez-le sur la liste des types d’opérations pour lesquels l’AIPD est requise, adoptée le 11 octobre 2018.
- Sinon, comptez les critères du Comité européen de la protection des données (CEPD) qu’il remplit. À partir de deux, l’AIPD est requise. Avec un seul, elle l’est également lorsque vous estimez le risque élevé.
De plus, l’article 35.3 du RGPD vise expressément l’évaluation systématique et approfondie de personnes par un traitement automatisé, suivie de décisions qui les affectent de manière significative. Le texte cite ensuite le traitement à grande échelle de données sensibles ou relatives aux infractions. Enfin, il mentionne la surveillance systématique à grande échelle d’une zone accessible au public.
La liste CNIL des 14 types de traitements soumis à AIPD
Si votre traitement figure sur cette liste, la discussion s’arrête : l’AIPD est requise. Le document de la CNIL associe à chaque type les critères du CEPD qu’il remplit, ainsi que des exemples. Ces exemples parlent d’ailleurs souvent davantage que les intitulés.
| Domaine | Type d’opération | Exemple cité par la CNIL |
|---|---|---|
| Santé | Données de santé traitées par un établissement de santé ou médico-social pour la prise en charge des personnes | Dossier patients, télémédecine, dossiers des résidents d’un EHPAD ou d’un CCAS |
| Génétique | Données génétiques de personnes vulnérables | Consultation de génétique dans un établissement de santé |
| Ressources humaines | Profils de personnes à des fins de gestion des ressources humaines | Recrutement à l’aide d’un algorithme de sélection |
| Surveillance | Surveillance constante de l’activité des employés | Analyse des courriels sortants contre les fuites, chronotachygraphe |
| Alertes sociales | Alertes et signalements en matière sociale et sanitaire | Signalement de mineurs en danger ou de maltraitance |
| Alertes internes | Alertes et signalements en matière professionnelle | Dispositif d’alerte professionnelle, signalement de corruption |
| Recherche | Données de santé destinées à un entrepôt de données ou à un registre | Entrepôt de données de santé à des fins de recherche |
| Exclusion | Profilage pouvant exclure d’un contrat, le suspendre ou le rompre | Score d’octroi de crédit, lutte contre la fraude aux moyens de paiement |
| Impayés | Fichiers mutualisés de manquements contractuels | Fichier sectoriel des impayés, fichier des résiliations en assurance automobile |
| Sources externes | Profilage à partir de données provenant de sources externes | Combinaison de données par des courtiers, publicité en ligne personnalisée |
| Biométrie | Biométrie d’identification touchant notamment des personnes vulnérables | Accès à la cantine scolaire par reconnaissance du contour de la main |
| Logement | Instruction des demandes et gestion des logements sociaux | Instruction des demandes de logement social |
| Social | Accompagnement social ou médico-social des personnes | Suivi par une maison départementale des personnes handicapées |
| Localisation | Données de localisation à large échelle | Application mobile de géolocalisation, billettique des transports |
Repérez donc votre traitement par sa finalité. Le nom du logiciel ne dit rien : un même outil de planning sert à gérer des horaires ou à suivre des absences pour raison médicale, et seule la seconde finalité change l’analyse.
Les neuf critères du CEPD et la règle des deux critères
Hors liste, les lignes directrices WP248 rév. 01 du groupe de travail « Article 29 » (G29), reprises par le CEPD le 25 mai 2018, fournissent neuf critères. Selon ces lignes directrices, dans la plupart des cas, un traitement qui en remplit deux nécessite une AIPD. Le G29 ajoute toutefois qu’un critère unique peut suffire, et que le risque élevé devient plus probable à chaque critère supplémentaire.
| Critère | Question à vous poser |
|---|---|
| Évaluation | Le traitement attribue-t-il une note, un profil ou une prédiction aux personnes, sur leur travail, leur santé, leur comportement ou leurs déplacements ? |
| Décision automatique | Une décision produisant un effet légal ou similaire, comme une exclusion, est-elle prise de façon automatisée ? |
| Surveillance | Les personnes sont-elles observées ou contrôlées de manière systématique, y compris par un réseau ? |
| Données sensibles | Traitez-vous des données de santé, des opinions, des infractions, ou des données très personnelles comme la localisation ou les données financières ? |
| Grande échelle | Le nombre de personnes, le volume de données, la durée du traitement ou son étendue géographique sont-ils importants ? |
| Croisement | Combinez-vous des jeux de données issus de finalités ou de responsables différents, au-delà des attentes des personnes ? |
| Vulnérabilité | Les personnes sont-elles des enfants, des patients, des personnes âgées, des demandeurs d’asile ou des salariés face à leur employeur ? |
| Innovation | Le traitement repose-t-il sur une technologie ou une organisation nouvelle, comme un objet connecté ? |
| Exclusion | Le traitement peut-il priver une personne d’un droit, d’un service ou d’un contrat ? |
La CNIL donne un exemple parlant : une entreprise collecte la géolocalisation de plusieurs millions de personnes pour cibler sa publicité. Ce traitement remplit le critère de la grande échelle et celui des données sensibles, donc l’AIPD est requise. En pratique, cochez les critères d’après le fonctionnement réel du traitement, flux et prestataires compris, plutôt que d’après la plaquette de l’éditeur.
Les 12 types de traitements dispensés d’AIPD
À l’inverse, la seconde liste de la CNIL dispense douze types de traitements. Elle couvre notamment la gestion du personnel des organismes de moins de 250 personnes sans profilage, la relation fournisseurs et le fichier électoral des communes. Elle inclut également la gestion des membres et donateurs d’une association sans données sensibles, ainsi que la patientèle d’un professionnel de santé exerçant à titre individuel.
Chaque ligne a toutefois ses conditions. Dès qu’une badgeuse passe à l’empreinte digitale, ou que la gestion du personnel introduit du profilage, la dispense tombe. La CNIL rappelle d’ailleurs que ces traitements restent soumis aux autres obligations du RGPD. Ainsi, en cas de doute, elle recommande de réaliser l’AIPD.
La CNIL écarte aussi l’analyse pour un traitement très proche d’un autre déjà analysé. Il en va de même pour un traitement fondé sur une obligation légale ou une mission de service public, lorsque le texte qui l’encadre a fait l’objet d’une analyse d’impact lors de son adoption (article 35.10). Quant aux traitements antérieurs au 25 mai 2018 déclarés à la CNIL, leur sursis de trois ans a expiré en mai 2021 : un traitement ancien à risque élevé doit désormais avoir son AIPD.
Exemples d’AIPD par secteur : santé, santé au travail, collectivités
Établissements de santé et médico-sociaux
Pour un hôpital, une clinique ou un EHPAD, la liste de la CNIL tranche d’emblée. Le dossier patients, les algorithmes d’aide à la décision médicale, la télémédecine, les vigilances sanitaires, le laboratoire et la pharmacie à usage intérieur imposent une AIPD. À l’inverse, un professionnel de santé exerçant à titre individuel en cabinet, en officine ou en laboratoire est dispensé pour la prise en charge de sa patientèle.
La frontière dépend donc de la structure qui traite les données. De même, un entrepôt de données de santé destiné à la recherche relève lui aussi de la liste. Un établissement qui change de dossier patient lance ainsi l’AIPD dès le cahier des charges.
Services de prévention et de santé au travail
Le guide pratique de la CNIL consacré aux SPST, publié en novembre 2023, est explicite. Selon lui, l’AIPD est nécessaire pour le fichier de gestion des dossiers médicaux en santé au travail (DMST), en raison du volume de données de santé des travailleurs. Elle n’est pas obligatoire, en revanche, pour la gestion des prestataires et des entreprises adhérentes. Pour une recherche médicale menée à partir de ces données, le guide prévoit dans tous les cas une AIPD.
Le même guide demande aussi une mise à jour à chaque modification du traitement et à chaque évolution des connaissances techniques. Plus de 40 services de prévention et de santé au travail ont désigné DPO PARTAGE comme DPO. Notre page sur l’accompagnement RGPD des SPST détaille cette offre.
Collectivités territoriales
Côté collectivités, la liste de la CNIL vise les dossiers des résidents suivis par un centre communal d’action sociale (CCAS), le suivi social de personnes fragiles, l’instruction des demandes de logement social et l’accompagnement des personnes handicapées. En revanche, le fichier électoral et les services scolaires, périscolaires et de petite enfance sont dispensés.
La vidéoprotection mérite une attention particulière, parce qu’elle filme souvent une zone accessible au public. Plusieurs communes qui déploient un dispositif similaire peuvent mutualiser une seule AIPD, selon la CNIL. Chaque commune garde toutefois la responsabilité de son traitement. Pour une collectivité sans DPO, notre page DPO pour les collectivités décrit l’accompagnement possible.
Employeurs et représentants du personnel
Un employeur entre dans le champ dès qu’il surveille l’activité de ses salariés de façon constante. La CNIL cite l’analyse des courriels sortants contre les fuites, la vidéosurveillance de salariés qui manipulent de l’argent et le chronotachygraphe. Le dispositif d’alerte professionnelle et le profilage à des fins de recrutement figurent également sur la liste. Par contraste, la paie et la gestion courante du personnel d’un organisme de moins de 250 personnes, sans profilage, sont dispensées. La liste dispense également les activités des comités d’entreprise et d’établissement, selon son intitulé.
Qui réalise l’AIPD et quel est le rôle du DPO ?
Le responsable de traitement porte l’analyse
Le responsable de traitement porte l’AIPD. Les lignes directrices WP248 admettent d’ailleurs qu’une autre personne la rédige, en interne ou à l’extérieur. Toutefois, le responsable de traitement en reste responsable en dernier ressort.
Le DPO conseille, vérifie et rend un avis
L’article 35.2 du RGPD oblige d’abord le responsable de traitement à demander conseil au DPO. L’article 39.1 c) charge ensuite le DPO de vérifier l’exécution de l’analyse. Le G29 demande enfin que l’AIPD consigne les conseils reçus et les décisions prises. Nous en tirons donc une règle simple : le DPO conseille et rend un avis écrit, et la direction décide. Si elle s’écarte de l’avis, l’AIPD conserve la trace de sa décision et de ses motifs.
Sous-traitants, personnes concernées et équipes projet
D’autres acteurs participent aussi. D’abord, le sous-traitant doit aider le responsable de traitement et fournir les informations nécessaires, en vertu de l’article 28.3 f). Ensuite, le cas échéant, le responsable de traitement demande l’avis des personnes concernées ou de leurs représentants (article 35.9), par exemple par une question formelle aux représentants du personnel. Le G29 précise toutefois que demander le consentement ne permet pas de recueillir cet avis. Enfin, la CNIL recommande d’associer les métiers, les équipes de mise en œuvre et le responsable de la sécurité des systèmes d’information.
Nommez donc un pilote côté métier dès le lancement du projet, et datez la demande d’avis adressée au DPO.
Mener une AIPD étape par étape
Le responsable de traitement choisit librement sa méthode, à condition de respecter les critères de l’annexe 2 des lignes directrices WP248. La méthode de la CNIL enchaîne l’étude du contexte, celle des principes fondamentaux, celle des risques, puis la validation. Nous la déroulons ainsi :
Préparer : contexte, nécessité et proportionnalité
- Lancez l’analyse au début du projet. Le G29 demande de la démarrer le plus tôt possible dans la conception, même si une partie des opérations reste inconnue.
- Décrivez le traitement. Indiquez les finalités, les données, les personnes, les destinataires, les durées, les supports techniques, les sous-traitants et les flux. Une personne extérieure au projet doit pouvoir dessiner les flux à partir de votre texte.
- Évaluez la nécessité et la proportionnalité. Vérifiez la base légale, la minimisation, les durées de conservation, l’information et l’exercice des droits. La CNIL rappelle que ces principes ne se négocient pas, quel que soit le niveau de risque.
Analyser les risques, décider et suivre
- Appréciez les risques pour les personnes. Pour la fuite, la modification non voulue et la perte des données, notez la gravité et la vraisemblance. Si votre organisme pratique EBIOS Risk Manager, articulez les ateliers EBIOS avec cette étape.
- Arrêtez les mesures. Donnez à chaque mesure un responsable et une échéance, puis réévaluez le risque résiduel.
- Recueillez les avis. Sollicitez celui du DPO et, le cas échéant, celui des personnes concernées ou de leurs représentants.
- Validez ou reprenez. Le responsable de traitement valide l’analyse ou fait reprendre les étapes précédentes.
- Consultez la CNIL si le risque résiduel reste élevé. Faites-le avant de lancer le traitement (article 36).
- Planifiez le réexamen. Fixez une date de revue et les événements qui déclenchent une mise à jour.
Chaque étape revient plusieurs fois avant la version finale, prévient le G29, car le choix d’une mesure modifie la gravité ou la vraisemblance d’un risque. Prévoyez donc des allers-retours dans le planning plutôt qu’une remise unique.
Consultation préalable de la CNIL : l’article 36
La consultation préalable devient obligatoire lorsque l’AIPD conclut à un risque résiduel élevé malgré les mesures prévues. Le responsable de traitement consulte alors la CNIL avant de lancer le traitement. L’article 36.3 du RGPD fixe le contenu du dossier : la répartition des responsabilités, les finalités et les moyens, les mesures et garanties, les coordonnées du DPO, l’AIPD elle-même et toute information demandée.
Délais de réponse et envoi du dossier
Les délais figurent aussi dans le texte. La CNIL dispose de huit semaines pour rendre un avis écrit, prolongeables de six semaines selon la complexité du traitement. Dans ce cas, elle informe le responsable de traitement de la prolongation dans le mois qui suit la demande. Enfin, les délais restent suspendus tant que les informations demandées manquent.
L’envoi passe par le téléservice de soumission d’une AIPD. Il faut d’abord le numéro SIREN de l’organisme et un fichier de 20 Mo au plus. Un accusé de réception arrive ensuite dans les 10 jours ouvrés, et la CNIL annonce un traitement de 8 à 14 semaines. Inscrivez donc quatorze semaines de marge dans le planning d’un projet à risque résiduel élevé.
Hors de ce cas, l’AIPD reste dans votre documentation. Le RGPD n’impose pas non plus sa publication. Le G29 considère toutefois la publication d’un résumé comme une bonne pratique, en particulier pour une autorité publique.
Outils pour réaliser une AIPD : PIA, modèle du CEPD, DPO Suite
Le logiciel PIA de la CNIL
Le logiciel PIA de la CNIL reste le point de départ naturel. Ce logiciel libre déroule la méthode de la CNIL pas à pas, propose une base de connaissances tirée du RGPD et des guides de la CNIL, et fonctionne en 20 langues. Il s’installe notamment sur Windows, Linux ou macOS, ou se déploie sur un serveur. La CNIL signale toutefois elle-même ses limites : l’export PDF varie selon l’environnement, et la version web se met à jour à la main.
Le modèle européen d’AIPD du CEPD
À l’échelle européenne, le CEPD a soumis un modèle commun d’AIPD à consultation publique jusqu’au 9 juin 2026. Selon sa page de consultation, le modèle sera ensuite finalisé, puis repris par les autorités nationales comme modèle unique ou comme référence commune. La CNIL précise d’ailleurs que les AIPD existantes demeurent valides et qu’aucun changement de modèle n’est exigé.
DPO Suite : l’AIPD reliée au reste de la conformité
Une AIPD isolée vieillit vite, parce qu’elle décrit des sous-traitants, des logiciels et des mesures qui vivent ailleurs. Nous avons conçu DPO Suite dans cette logique : l’application réunit registres, violations, demandes de droits, sous-traitants, AIPD et audits AI Act et NIS2, et propose une AIPD guidée par IA. Son intérêt se mesure donc dès que les analyses se multiplient. Avec une ou deux AIPD, le logiciel PIA suffit.
| Outil | Pour qui | Points forts | Limites |
|---|---|---|---|
| Logiciel PIA | Organismes qui débutent ou mènent peu d’analyses | Méthode de la CNIL pas à pas, base de connaissances, code libre, 20 langues | Export PDF variable, mises à jour manuelles en version web, analyses séparées du registre |
| Modèle du CEPD | Organismes qui veulent un format harmonisé en Europe | Tableaux communs à renseigner, compatibles avec les modèles nationaux à venir | Version finale à surveiller après la consultation de juin 2026 |
| DPO Suite | DPO et structures qui suivent plusieurs analyses | AIPD guidée par IA, reliée aux registres, aux sous-traitants et aux violations | Intérêt limité pour une analyse unique |
| Tableur | Usage ponctuel | Souplesse totale de mise en forme | Aucun garde-fou de méthode, versions multiples difficiles à suivre |
Les erreurs qui affaiblissent une analyse d’impact RGPD
Les AIPD que nous relisons pèchent rarement par la forme. Le moment de leur rédaction et l’écart entre le document et le traitement réel posent davantage problème. Les situations ci-dessous, anonymisées et génériques, reviennent d’un organisme à l’autre.
L’analyse rédigée après la mise en production
Le risque évalué pour l’organisme
L’AIPD de l’éditeur recopiée
L’analyse jamais rouverte
Mettre à jour une AIPD : quand et comment
L’article 35.11 du RGPD impose un réexamen au moins lorsque le risque change. La CNIL va plus loin et demande une revue régulière, car l’environnement technique évolue et les mesures doivent suivre. Pour le G29, l’AIPD relève ainsi d’un processus continu.
En pratique, nous déclenchons une mise à jour à chaque nouveau sous-traitant ou hébergeur, nouvelle catégorie de données, nouvelle finalité, ou fonction d’intelligence artificielle. Une violation de données ou un changement d’échelle produisent également le même effet. Les données de santé confiées à une IA illustrent bien ce besoin, comme le montre notre analyse sur les données de santé traitées par une IA et la consultation de la CNIL.
Le réexamen joue aussi dans l’autre sens. Lorsqu’une décision cesse d’être automatisée ou qu’une surveillance perd son caractère systématique, le G29 admet que l’AIPD peut ne plus être nécessaire. Conservez alors l’historique des versions : il prouve que vous avez suivi le risque.
Nos analyses sur l’AIPD
Chaque article approfondit un point de ce guide. Choisissez donc celui qui correspond à votre projet.
Sources consultées
Les articles 35, 36, 39 et 83 sont cités d’après le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, publié sur EUR-Lex. La définition, les rôles et les cas de transmission viennent de la page de la CNIL Ce qu’il faut savoir sur l’analyse d’impact relative à la protection des données (AIPD).
Les deux listes proviennent des documents Liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise et Liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données n’est pas requise. Pour les neuf critères, nous nous appuyons sur les Lignes directrices concernant l’analyse d’impact relative à la protection des données (WP248 rév. 01), reprises par le CEPD sur sa page Analyses d’impact relatives à la protection des données, traitements à haut risque.
Côté outils, la CNIL décrit son logiciel sur la page Outil PIA : téléchargez et installez le logiciel de la CNIL et la procédure d’envoi sur Soumettre une analyse d’impact relative à la protection des données (AIPD) à la CNIL. Le modèle européen fait l’objet de l’annonce AIPD : le CEPD lance une consultation publique sur un modèle européen et de la page du CEPD Template for Data Protection Impact Assessment. Enfin, les règles propres aux services de santé au travail figurent dans le Guide pratique SPST : services de prévention et de santé au travail.