L’article 35 du RGPD impose d’évaluer les risques d’un traitement, mais ne donne aucune recette. Résultat : beaucoup d’AIPD tournent court sur la partie risques. La méthode EBIOS Risk Manager, publiée par l’ANSSI, offre justement le cadre qui manque. Encore faut-il savoir la brancher sur l’AIPD sans tout refaire deux fois.
Qu’est-ce que la méthode EBIOS Risk Manager exactement ?
EBIOS Risk Manager est une méthode d’appréciation et de traitement du risque numérique publiée par l’ANSSI. Elle structure le travail en cinq ateliers.
Le premier cadre le périmètre et les valeurs à protéger. Le deuxième identifie les sources de risque et leurs objectifs. Le troisième étudie les parties prenantes de l’écosystème.
Les deux derniers construisent des scénarios d’attaque, puis définissent la stratégie de traitement. La logique est itérative : on affine à chaque tour plutôt que de viser la perfection du premier coup.
Son intérêt tient à sa rigueur. Là où une analyse maison reste vague, EBIOS force à nommer des scénarios précis et à les coter.
En quoi EBIOS complète-t-elle vraiment l’AIPD ?
Les deux démarches ne visent pas la même chose. L’AIPD protège les droits et libertés des personnes concernées. EBIOS protège l’organisation et ses actifs.
Mais elles se recoupent sur un point central : l’évaluation des risques. L’AIPD demande d’estimer gravité et vraisemblance de trois atteintes types, l’accès illégitime, la modification non désirée et la disparition de données.
EBIOS apporte une méthode robuste pour construire ces scénarios et les coter sur une échelle défendable. Vous ne partez plus d’une intuition, mais d’une chaîne d’événements documentée.
Autrement dit, EBIOS peut alimenter le volet risques de l’AIPD. Vous gardez le cadre du RGPD, mais vous musclez la partie la plus souvent bâclée.
| Critère | AIPD (RGPD) | EBIOS Risk Manager |
|---|---|---|
| Objet protégé | Droits des personnes | Actifs de l’organisation |
| Déclencheur | Traitement à risque élevé | Choix de l’organisation |
| Approche du risque | Trois atteintes types | Scénarios d’attaque détaillés |
| Publiée par | CNIL / CEPD | ANSSI |
Comment articuler concrètement les ateliers avec l’AIPD ?
L’idée n’est pas d’empiler deux dossiers, mais de faire circuler l’information. Voici un enchaînement qui évite les doublons.
- Atelier 1 : réutilisez la description du traitement déjà posée dans l’AIPD pour cadrer le périmètre.
- Ateliers 2 et 3 : identifiez les sources de risque et les tiers, dont vos prestataires techniques.
- Atelier 4 : traduisez les scénarios en atteintes RGPD, accès, modification, disparition.
- Atelier 5 : reportez les mesures retenues dans le plan d’action de l’AIPD.
Cette circulation vaut aussi pour la cartographie des intervenants extérieurs. Un scénario impliquant un hébergeur ou un éditeur relève directement des obligations de vos sous-traitants et de l’acte de sous-traitance.
Pour les traitements sensibles, l’enjeu monte d’un cran. Un scénario de fuite touchant des données de santé au sens du RGPD se cote presque toujours en gravité maximale.
Croiser EBIOS et AIPD demande du temps et un regard extérieur pour rester objectif sur la cotation. Un DPO externalisé qui pilote l’analyse de risques de bout en bout sécurise la démarche et rend le dossier opposable en cas de contrôle.
Quels pièges éviter dans cette articulation ?
Le premier piège est la confusion des finalités. EBIOS parle de risque pour l’organisation, l’AIPD de risque pour les personnes. Une même faille peut être mineure pour l’entreprise et grave pour les concernés.
Le deuxième piège est la sur-ingénierie. Cinq ateliers complets pour un traitement banal noient le DPO sous la documentation. Adaptez la profondeur au niveau de risque réel.
Le troisième piège concerne l’après. Une analyse figée perd sa valeur dès qu’un scénario se concrétise, par exemple lors d’une violation de données à notifier sous 72 heures. Chaque incident doit nourrir la révision de l’analyse.
Enfin, gardez la traçabilité des choix. Une cotation sans justification écrite ne tient pas face à un régulateur. Notez pourquoi tel scénario est jugé vraisemblable, et sur quelles mesures vous vous appuyez. Sur les systèmes complexes, la CNIL rappelle d’ailleurs l’importance de cette rigueur, notamment pour l’encadrement de l’intelligence artificielle.
FAQ
EBIOS Risk Manager est-elle obligatoire pour une AIPD ?
Non. Le RGPD n’impose aucune méthode précise pour l’analyse de risques. EBIOS Risk Manager reste facultative, mais elle apporte une structure reconnue qui solidifie le volet risques de l’AIPD. Vous pouvez aussi utiliser l’outil PIA de la CNIL, qui suit une logique proche et compatible.
Qui doit piloter l’articulation entre les deux démarches ?
Le responsable de traitement en porte la charge, appuyé par le DPO qui garde la vision des droits des personnes. Un référent sécurité intervient sur les scénarios techniques. La combinaison des deux regards évite qu’une faille grave pour les concernés soit sous-estimée parce qu’elle semble mineure pour l’organisation.
Peut-on faire une AIPD sans analyse de risques structurée ?
En théorie oui, mais l’AIPD perd alors l’essentiel de sa valeur. Sans scénarios cotés, l’estimation de gravité et de vraisemblance reste subjective. Une méthode comme EBIOS Risk Manager rend la démarche défendable et reproductible, ce qui compte beaucoup si un contrôle survient.
À quelle fréquence réviser cette analyse combinée ?
Révisez au minimum tous les trois ans, et dès qu’un changement significatif intervient : nouvelle finalité, nouveau prestataire, incident de sécurité ou évolution technique majeure. Chaque violation avérée doit aussi déclencher une relecture des scénarios, car elle prouve qu’un risque théorique est devenu réel.
