Vos préférences en matière de cookies

Lignes directrices CEPD · art. 7 RGPD

Nous utilisons des cookies techniques essentiels au fonctionnement de la plateforme (connexion, sécurité, sessions). Nous souhaiterions aussi utiliser des cookies analytiques pour comprendre comment l'améliorer.

Vous pouvez tout accepter, tout refuser, ou choisir les catégories à activer.Votre consentement est valable 6 mois et vous pouvez le retirer à tout moment depuis le pied de page.

Vous trouverez tout dans notre politique de confidentialité.

Art. 35 RGPD

Logiciel AIPD : l'analyse d'impact comme outil de travail, pas comme formalité subie

L'analyse d'impact relative à la protection des données est le document qui distingue les DPO qui documentent des décisions de ceux qui remplissent des formulaires. Dans DPO Workspace, l'AIPD naît reliée au registre des traitements du client et se retrouve archivée avec son échéance de revue — pour chaque client, au même endroit.

Au-delà des critères de l'article 35.3 du RGPD, la CNIL a publié, par sa délibération n° 2018-327 du 11 octobre 2018, une liste de quatorze types de traitements pour lesquels l'AIPD est obligatoire — ainsi qu'une liste miroir de traitements dispensés (délibération n° 2019-118). Un DPO qui suit des clients de secteurs différents a besoin d'une méthodologie reproductible pour s'y référer, pas d'une appréciation au cas par cas.

Quand l'AIPD est-elle obligatoire en pratique ?

Les listes de la CNIL traduisent l'article 35.3 du RGPD en catégories concrètes. Un DPO qui suit plusieurs clients a intérêt à les connaître, plutôt que de repartir de zéro à chaque nouveau projet :

Évaluation systématique et scoring

Les décisions automatisées produisant des effets juridiques, comme le scoring de solvabilité ou la présélection automatisée de candidatures, déclenchent quasi systématiquement une AIPD — indépendamment de la taille de l'organisme.

Traitement à grande échelle de données sensibles

Données de santé, données biométriques ou informations syndicales traitées à grande échelle, par exemple chez un prestataire RH ou dans le secteur de la santé.

Surveillance systématique d'une zone accessible au public

Vidéosurveillance de zones clients, de parkings ou d'entrées avec enregistrement permanent — même pour un réseau de petites enseignes.

Géolocalisation et suivi des salariés

Géolocalisation de flotte, badgeage avec données de localisation ou analyse logicielle de la performance figurent explicitement sur la liste CNIL des traitements soumis à AIPD.

Systèmes fondés sur l'intelligence artificielle

L'usage de l'IA pour évaluer, classer ou prédire un comportement recoupe les catégories à haut risque de l'IA Act et appelle de toute façon une analyse documentée.

Le parcours guidé

  1. Décrire le traitement à partir du registre de l'article 30 du client
  2. Évaluer nécessité, proportionnalité et risques avec la matrice guidée
  3. Définir les mesures et le risque résiduel, fondements juridiques à l'appui
  4. Exporter et archiver dans le dossier client, avec l'échéance de revue

Ce que l'AIPD guidée fournit concrètement

Au terme de chaque AIPD, il ne reste pas qu'un formulaire, mais un ensemble de pièces qui restent dans le dossier client et se retrouvent immédiatement en cas de contrôle :

  • Un PDF exportable avec chaque étape d'évaluation, les fondements juridiques et l'horodatage — présentable en cas de contrôle de la CNIL.
  • Une matrice de risques reliée, combinant vraisemblance et gravité pour calculer automatiquement le risque résiduel.
  • Une échéance de revue adaptée à la nature du traitement, avec rappel avant expiration.
  • Un lien direct vers l'analyse d'impact sur les droits fondamentaux de l'article 27 de l'IA Act, si le même traitement concerne un système d'IA.

Avec l'analyse de risques et la section IA Act à côté

Le générateur inclut aussi l'analyse de risques (matrice vraisemblance-gravité calculée) et l'analyse d'impact sur les droits fondamentaux de l'article 27 de l'IA Act : l'AIPD dialogue avec les deux. Essai gratuit de 30 jours, sans carte bancaire.

Essayer gratuitement

Questions fréquentes

Quand l'AIPD est-elle obligatoire ?

Lorsque le traitement est susceptible d'engendrer un risque élevé : évaluation systématique et approfondie, traitement à grande échelle de données sensibles, surveillance systématique à grande échelle d'une zone accessible au public (art. 35.3 RGPD) — auxquels s'ajoutent les traitements figurant sur la liste de la CNIL adoptée par la délibération n° 2018-327 du 11 octobre 2018, qui recense quatorze types de traitements soumis à AIPD obligatoire.

Que doit contenir une AIPD ?

Une description systématique du traitement et de ses finalités ; une évaluation de la nécessité et de la proportionnalité ; une évaluation des risques pour les droits et libertés des personnes ; les mesures envisagées pour y remédier (art. 35.7 RGPD). Si le risque résiduel reste élevé, une consultation préalable de la CNIL est requise (art. 36 RGPD).

Qui doit réaliser l'AIPD ?

Le responsable de traitement, en associant le délégué à la protection des données lorsqu'il en existe un — son avis doit être recueilli et documenté, même si la responsabilité finale reste au responsable de traitement.

Quel lien entre l'AIPD et l'IA Act européen ?

L'analyse d'impact sur les droits fondamentaux de l'IA Act (art. 27), pour les déployeurs de systèmes à haut risque, peut s'appuyer sur une AIPD déjà réalisée : mêmes faits, angles complémentaires (protection des données face aux droits fondamentaux en général). Les relier évite un travail en double.

Une évaluation des risques générale suffit-elle sans AIPD structurée ?

Non. Le RGPD exige une méthodologie documentée et traçable au titre de l'article 35.7 — une appréciation informelle sans cette structure ne satisfait pas l'obligation de responsabilité (accountability) de l'article 5.2 du RGPD.

Combien de temps prend une AIPD en pratique ?

Pour un traitement unique et bien délimité, un modèle guidé permet généralement de la mener en deux à quatre heures de travail effectif, réparties sur plusieurs séances avec le responsable de traitement. Les cas complexes, avec plusieurs sous-traitants ou des transferts transfrontaliers, demandent davantage de temps.

Que risque-t-on si la CNIL demande une AIPD absente ou insuffisante ?

L'absence ou l'insuffisance d'une AIPD requise est en général qualifiée de manquement autonome à l'article 35 du RGPD et pèse dans le calcul de la sanction, indépendamment de la licéité du traitement sous-jacent. Une AIPD documentée et traçable constitue donc aussi une preuve de responsabilité au sens de l'article 5.2 du RGPD.

Chaque client, son AIPD, son échéance

Registre, risques, AIPD et documents : reliés, pas éparpillés.

Essai gratuit