Quand l'AIPD est-elle obligatoire en pratique ?
Les listes de la CNIL traduisent l'article 35.3 du RGPD en catégories concrètes. Un DPO qui suit plusieurs clients a intérêt à les connaître, plutôt que de repartir de zéro à chaque nouveau projet :
Évaluation systématique et scoring
Les décisions automatisées produisant des effets juridiques, comme le scoring de solvabilité ou la présélection automatisée de candidatures, déclenchent quasi systématiquement une AIPD — indépendamment de la taille de l'organisme.
Traitement à grande échelle de données sensibles
Données de santé, données biométriques ou informations syndicales traitées à grande échelle, par exemple chez un prestataire RH ou dans le secteur de la santé.
Surveillance systématique d'une zone accessible au public
Vidéosurveillance de zones clients, de parkings ou d'entrées avec enregistrement permanent — même pour un réseau de petites enseignes.
Géolocalisation et suivi des salariés
Géolocalisation de flotte, badgeage avec données de localisation ou analyse logicielle de la performance figurent explicitement sur la liste CNIL des traitements soumis à AIPD.
Systèmes fondés sur l'intelligence artificielle
L'usage de l'IA pour évaluer, classer ou prédire un comportement recoupe les catégories à haut risque de l'IA Act et appelle de toute façon une analyse documentée.
Le parcours guidé
- Décrire le traitement à partir du registre de l'article 30 du client
- Évaluer nécessité, proportionnalité et risques avec la matrice guidée
- Définir les mesures et le risque résiduel, fondements juridiques à l'appui
- Exporter et archiver dans le dossier client, avec l'échéance de revue
Ce que l'AIPD guidée fournit concrètement
Au terme de chaque AIPD, il ne reste pas qu'un formulaire, mais un ensemble de pièces qui restent dans le dossier client et se retrouvent immédiatement en cas de contrôle :
- Un PDF exportable avec chaque étape d'évaluation, les fondements juridiques et l'horodatage — présentable en cas de contrôle de la CNIL.
- Une matrice de risques reliée, combinant vraisemblance et gravité pour calculer automatiquement le risque résiduel.
- Une échéance de revue adaptée à la nature du traitement, avec rappel avant expiration.
- Un lien direct vers l'analyse d'impact sur les droits fondamentaux de l'article 27 de l'IA Act, si le même traitement concerne un système d'IA.
Avec l'analyse de risques et la section IA Act à côté
Le générateur inclut aussi l'analyse de risques (matrice vraisemblance-gravité calculée) et l'analyse d'impact sur les droits fondamentaux de l'article 27 de l'IA Act : l'AIPD dialogue avec les deux. Essai gratuit de 30 jours, sans carte bancaire.
Essayer gratuitementQuestions fréquentes
Quand l'AIPD est-elle obligatoire ?
Lorsque le traitement est susceptible d'engendrer un risque élevé : évaluation systématique et approfondie, traitement à grande échelle de données sensibles, surveillance systématique à grande échelle d'une zone accessible au public (art. 35.3 RGPD) — auxquels s'ajoutent les traitements figurant sur la liste de la CNIL adoptée par la délibération n° 2018-327 du 11 octobre 2018, qui recense quatorze types de traitements soumis à AIPD obligatoire.
Que doit contenir une AIPD ?
Une description systématique du traitement et de ses finalités ; une évaluation de la nécessité et de la proportionnalité ; une évaluation des risques pour les droits et libertés des personnes ; les mesures envisagées pour y remédier (art. 35.7 RGPD). Si le risque résiduel reste élevé, une consultation préalable de la CNIL est requise (art. 36 RGPD).
Qui doit réaliser l'AIPD ?
Le responsable de traitement, en associant le délégué à la protection des données lorsqu'il en existe un — son avis doit être recueilli et documenté, même si la responsabilité finale reste au responsable de traitement.
Quel lien entre l'AIPD et l'IA Act européen ?
L'analyse d'impact sur les droits fondamentaux de l'IA Act (art. 27), pour les déployeurs de systèmes à haut risque, peut s'appuyer sur une AIPD déjà réalisée : mêmes faits, angles complémentaires (protection des données face aux droits fondamentaux en général). Les relier évite un travail en double.
Une évaluation des risques générale suffit-elle sans AIPD structurée ?
Non. Le RGPD exige une méthodologie documentée et traçable au titre de l'article 35.7 — une appréciation informelle sans cette structure ne satisfait pas l'obligation de responsabilité (accountability) de l'article 5.2 du RGPD.
Combien de temps prend une AIPD en pratique ?
Pour un traitement unique et bien délimité, un modèle guidé permet généralement de la mener en deux à quatre heures de travail effectif, réparties sur plusieurs séances avec le responsable de traitement. Les cas complexes, avec plusieurs sous-traitants ou des transferts transfrontaliers, demandent davantage de temps.
Que risque-t-on si la CNIL demande une AIPD absente ou insuffisante ?
L'absence ou l'insuffisance d'une AIPD requise est en général qualifiée de manquement autonome à l'article 35 du RGPD et pèse dans le calcul de la sanction, indépendamment de la licéité du traitement sous-jacent. Une AIPD documentée et traçable constitue donc aussi une preuve de responsabilité au sens de l'article 5.2 du RGPD.
Chaque client, son AIPD, son échéance
Registre, risques, AIPD et documents : reliés, pas éparpillés.
Essai gratuit