AIPD : conduire une analyse d’impact relative à la protection des données

L’AIPD (Analyse d’impact relative à la protection des données) est l’outil que le Règlement général sur la protection des données (RGPD) impose à toute organisation qui envisage un traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Connue sous l’acronyme anglais DPIA (Data Protection Impact Assessment), parfois encore appelée PIA (Privacy Impact Assessment) dans la littérature antérieure à 2018, cette analyse n’est ni un audit a posteriori ni une formalité administrative. C’est une démarche structurée qui vise à anticiper les risques d’un traitement avant sa mise en œuvre et à définir les mesures qui les rendent acceptables. Mal comprise, elle est vécue comme une charge ; bien conduite, elle devient le pivot de la gouvernance des données dans l’organisation.

Le cadre légal : l’article 35 du RGPD

L’analyse d’impact est définie à l’article 35 du RGPD. Le texte impose au responsable du traitement de procéder à cette analyse « lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ».

Trois catégories de traitements déclenchent automatiquement l’obligation, sans appréciation discrétionnaire possible. La première concerne l’évaluation systématique et approfondie d’aspects personnels par traitement automatisé, y compris le profilage, lorsque cette évaluation produit des effets juridiques ou affecte significativement les personnes. La seconde vise le traitement à grande échelle de catégories particulières de données, dites données sensibles au sens de l’article 9 (santé, opinions politiques, données biométriques, données génétiques, vie sexuelle), ou de données relatives aux condamnations pénales. La troisième porte sur la surveillance systématique à grande échelle d’une zone accessible au public, typiquement la vidéosurveillance d’espaces ouverts.

Au-delà de ces trois cas explicites, la Commission nationale de l’informatique et des libertés (CNIL) a publié deux listes complémentaires : une liste positive de traitements pour lesquels une analyse d’impact est obligatoire, et une liste négative de traitements pour lesquels elle ne l’est pas. Ces listes ont été harmonisées au niveau européen sous l’égide du Comité européen de la protection des données (EDPB, European Data Protection Board) afin d’assurer une lecture cohérente d’un État membre à l’autre.

L’analyse doit être réalisée avant le début du traitement. C’est un point souvent sous-estimé : engager une AIPD une fois le système déployé revient à transformer un outil de conception en exercice de rattrapage. Le RGPD consacre ici la logique du privacy by design (protection des données dès la conception), inscrite à l’article 25.

Quels traitements sont concernés : la grille de la CNIL

La CNIL a publié neuf critères qui, lorsque deux ou plus sont remplis, présument l’existence d’un risque élevé et donc l’obligation de mener une analyse d’impact. Ces critères sont l’évaluation ou la notation, la décision automatique avec effet juridique, la surveillance systématique, la collecte de données sensibles, la collecte à grande échelle, le croisement de données, la collecte concernant des personnes vulnérables (mineurs, patients, salariés), l’usage innovant, et l’exclusion d’un droit ou bénéfice.

À ces critères s’ajoute la liste publiée par la CNIL en octobre 2018, mise à jour depuis, qui énumère des traitements pour lesquels la DPIA est systématiquement requise. On y trouve notamment les traitements à des fins de profilage des personnes vulnérables, la surveillance des salariés (gestion des e-mails, géolocalisation des véhicules, vidéosurveillance des lieux de travail), les traitements de gestion des alertes professionnelles, les traitements ayant pour finalité d’accompagner les personnes en situation sociale difficile, ainsi que les traitements de santé et de données biométriques aux fins d’identifier de manière unique une personne.

À l’inverse, la CNIL a publié une liste de traitements pour lesquels l’analyse n’est pas requise : gestion de la paie selon un format standard, tenue d’une comptabilité, gestion des registres légaux, listes électorales communales, traitements de simple gestion des fournisseurs et clients sans profilage, sites web institutionnels sans collecte de données sensibles. Cette liste fournit un point d’appui utile, mais elle ne dispense pas d’une vérification au cas par cas car elle suppose que le traitement reste dans un format strictement standard.

La méthodologie pas à pas

La méthodologie portée par la CNIL et l’EDPB s’organise en quatre temps : la description du traitement, l’évaluation de la nécessité et de la proportionnalité, l’identification et l’analyse des risques, la définition des mesures pour traiter ces risques.

Décrire le traitement

La première étape consiste à documenter de manière exhaustive le traitement étudié. Cette description précise la finalité (à quoi sert le traitement), les bases légales mobilisées, les données traitées (nature, source, volumétrie), les personnes concernées, les destinataires (internes, sous-traitants, tiers), les durées de conservation, les transferts hors Union européenne le cas échéant, et la cartographie technique : flux de données, bases stockées, applications, systèmes, infrastructures. C’est à ce moment que la cohérence avec le registre des activités de traitement (article 30 du RGPD) prend tout son sens : la fiche de registre alimente la description et l’analyse d’impact vient l’enrichir.

Évaluer la nécessité et la proportionnalité

La deuxième étape interroge la légitimité même du traitement. Le RGPD n’autorise pas tout. Sont évaluées la conformité aux principes de licéité, de loyauté et de transparence, la limitation des finalités, la minimisation des données, l’exactitude, la limitation de la conservation, l’intégrité et la confidentialité, ainsi que la responsabilité (accountability). Pour chacun de ces principes, le rédacteur de l’AIPD vérifie comment le traitement les respecte concrètement et documente les arbitrages effectués. Le respect des droits des personnes (information, accès, rectification, effacement, opposition, portabilité, limitation, décision automatisée) est également passé en revue.

Identifier et analyser les risques

La troisième étape est le cœur méthodologique de l’exercice. La CNIL a popularisé une approche en trois familles d’événements redoutés : l’accès illégitime à des données, la modification non désirée des données, et la disparition de données. Pour chaque événement, on identifie les sources de risque (humaines internes ou externes, non humaines, accidentelles ou malveillantes), les menaces qui exploitent ces sources (vol de support, intrusion, erreur de manipulation, défaillance matérielle), les impacts potentiels sur les personnes concernées (atteinte à la vie privée, discrimination, usurpation d’identité, perte de contrôle sur les données, exclusion d’un droit), et la vraisemblance de chaque scénario. La gravité et la vraisemblance sont cotées, généralement sur une échelle de 1 à 4 (négligeable, limitée, importante, maximale).

Définir les mesures et arrêter une décision

La quatrième étape consiste à identifier les mesures techniques et organisationnelles qui ramènent les risques à un niveau acceptable. Pseudonymisation, chiffrement au repos et en transit, contrôle d’accès granulaire, journalisation, sauvegardes, plans de continuité, sensibilisation des équipes, clauses contractuelles avec les sous-traitants : la palette est large. Le résultat de l’AIPD se conclut par une cartographie résiduelle des risques après application des mesures et par une décision documentée du responsable de traitement : valider, ajuster ou abandonner le projet.

Lorsque les risques résiduels demeurent élevés malgré les mesures prévues, l’article 36 du RGPD impose une consultation préalable de la CNIL avant la mise en œuvre du traitement. Cette procédure reste rare en pratique, mais elle constitue le filet de sécurité ultime du dispositif.

L’outil PIA de la CNIL

La CNIL met à disposition gratuitement un logiciel libre baptisé PIA (Privacy Impact Assessment), disponible en application web et en version installable. Cet outil propose une trame guidée fidèle à la méthodologie officielle. Il accompagne le rédacteur étape par étape, propose des bases de connaissances pour identifier les menaces et les mesures, et génère un rapport structuré en fin d’analyse.

L’outil PIA n’est pas obligatoire. Beaucoup de grandes organisations utilisent leurs propres référentiels internes, parfois intégrés à des plateformes de gouvernance des données. Pour une PME, une collectivité ou une association, le logiciel de la CNIL constitue une excellente porte d’entrée : il est gratuit, il colle aux attentes de l’autorité de contrôle et il pose un cadre méthodologique solide. Le rapport généré peut être versé directement au dossier du traitement et servir d’élément de preuve en cas de contrôle.

Qui pilote l’AIPD : DPO, responsable de traitement, métiers

La répartition des rôles autour d’une analyse d’impact est cadrée par les articles 35 et 39 du RGPD. La responsabilité de l’AIPD incombe au responsable du traitement, c’est-à-dire à la direction de l’organisation. C’est elle qui décide de lancer l’analyse, qui en valide les conclusions et qui assume la décision finale.

Le Délégué à la protection des données (DPO, Data Protection Officer) joue un rôle de conseil et de supervision. L’article 35.2 prévoit qu’il est consulté lorsqu’une AIPD est conduite. Dans la pratique, les organisations confient souvent au DPO le pilotage opérationnel de l’analyse, en tant que chef d’orchestre méthodologique. Pour comprendre dans le détail comment ce rôle s’articule avec les autres missions de la fonction, le guide complet du métier de DPO précise le mandat, les compétences et la position hiérarchique attendus.

Les métiers porteurs du projet apportent la connaissance fonctionnelle : finalités, processus, volumétrie, contraintes opérationnelles. La direction des systèmes d’information ou le RSSI (Responsable de la sécurité des systèmes d’information) intervient sur la cartographie technique et l’évaluation des mesures de sécurité. Le service juridique éclaire sur les bases légales et les engagements contractuels. Une analyse d’impact réussie est un travail collectif, mené sur quelques semaines, avec une gouvernance claire.

Lorsque le traitement implique un sous-traitant, l’article 28 du RGPD oblige ce dernier à fournir au responsable de traitement toutes les informations nécessaires à la conduite de l’AIPD. Les contrats de sous-traitance doivent prévoir cette coopération, sous peine de bloquer l’analyse en aval.

Quatre exemples concrets et leur articulation avec le registre

Pour passer du cadre théorique à la pratique, quatre cas illustrent les arbitrages typiques d’une telle démarche.

Vidéosurveillance d’un site logistique. Le traitement combine surveillance systématique d’une zone, présence de personnes vulnérables (salariés sous lien de subordination), volumétrie importante et croisement potentiel avec des dispositifs de contrôle d’accès. L’évaluation est obligatoire. Les mesures classiques portent sur le périmètre filmé (exclure les zones de pause), les durées de conservation (généralement un mois), l’information des salariés et des représentants du personnel, le contrôle d’accès aux images, et l’absence de rapprochement avec d’autres données RH sans base légale spécifique.

Logiciel SIRH avec module de scoring de performance. Le traitement croise évaluation systématique d’aspects personnels, prise de décision potentielle (mobilité, primes), salariés en position de vulnérabilité et finalités multiples. L’étude examine la transparence des critères de notation, la possibilité d’intervention humaine, le droit à l’explication, la durée de conservation des évaluations et la sécurité des accès. La direction des ressources humaines, le DPO et le comité social et économique sont étroitement associés à l’exercice.

Outil d’IA générative pour la rédaction de courriers clients. Le traitement implique l’envoi de données à un modèle, parfois hébergé hors Union européenne, et il introduit un usage innovant à fort potentiel de risques. L’évaluation porte sur la nature des données envoyées au modèle, l’absence de réutilisation pour l’entraînement, les engagements contractuels du fournisseur, les transferts internationaux et leurs garanties (clauses contractuelles types, décision d’adéquation), la traçabilité des prompts et des sorties, et la sensibilisation des utilisateurs. Cet exemple devient courant dans toutes les organisations qui intègrent des assistants conversationnels.

Score d’octroi de crédit dans une banque en ligne. Le traitement réunit profilage à grande échelle, décision automatique avec effet juridique direct, données financières sensibles et impact possible d’exclusion. Le dossier documente la base légale, la qualité des données d’entrée, les mécanismes anti-discrimination, l’audit régulier du modèle, le droit de la personne d’obtenir une intervention humaine et de contester la décision (article 22 du RGPD), et la conservation distincte des éléments d’explication.

Suivi, révision et lien avec le registre

Une analyse d’impact n’est pas un livrable figé. L’article 35.11 prévoit que le responsable du traitement procède à un examen pour évaluer si le traitement est effectué conformément à la DPIA, au moins lorsque survient une modification du risque. La CNIL recommande une révision périodique, typiquement tous les trois ans, ainsi qu’une révision déclenchée par tout changement significatif : nouvelle finalité, nouvelle catégorie de données, nouveau sous-traitant, nouvelle technologie, nouvel incident de sécurité matériellement révélateur.

L’articulation avec le registre des activités de traitement est centrale. Le registre cartographie l’ensemble des traitements ; l’analyse d’impact zoome sur ceux qui présentent un risque élevé. Les deux documents se nourrissent mutuellement. Une bonne pratique consiste à signaler dans la fiche de registre l’existence d’une AIPD, sa date et son numéro de version. À l’inverse, l’AIPD reprend les éléments structurants de la fiche de registre pour ne pas dupliquer l’information.

La traçabilité des décisions vaut autant que la qualité de l’analyse. La CNIL, en cas de contrôle, attend de pouvoir reconstituer la démarche : qui a été consulté, quelles options ont été écartées, quelles mesures ont été mises en œuvre, comment les risques résiduels ont été acceptés. Le fichier d’analyse, les comptes rendus de réunions, les avis formels du DPO et des représentants du personnel, les validations de la direction constituent ensemble la preuve de la conformité.

L’AIPD n’est ni un exercice juridique abstrait ni un audit technique isolé. C’est un outil de pilotage qui rapproche les directions métier, le DPO, la sécurité et la direction générale autour d’une question simple : ce traitement, tel qu’il est conçu, respecte-t-il les droits et libertés des personnes que nous traitons. Quand la réponse est étayée, documentée et révisée régulièrement, l’organisation transforme une obligation réglementaire en levier de qualité.