Comment réaliser une AIPD (PIA) : Méthode, exemple et checklist
Vous lancez un nouveau projet qui traite des données personnelles : vidéosurveillance intelligente, scoring client, application RH. Une question émerge rapidement : devez-vous réaliser une AIPD avant de démarrer ? Et si oui, comment ?
L'AIPD, ou analyse d'impact relative à la protection des données, est l'obligation du RGPD qui génère le plus de confusion en pratique. Beaucoup d'organisations la mènent quand elle n'est pas requise. D'autres l'oublient alors qu'elle est indispensable. Or son absence, quand elle est obligatoire, constitue un manquement sanctionnable à lui seul.
Cet article vous donne la méthode complète pour réaliser une AIPD conforme. Vous y trouverez les cas où elle est obligatoire, les étapes concrètes à suivre, un exemple déroulé de bout en bout, et une checklist directement utilisable. Objectif : que vous sachiez quoi faire lundi matin, sans être juriste.
L'AIPD : définition, obligation et méthode
Qu'est-ce qu'une AIPD, concrètement ?
Une AIPD est une étude que vous menez avant de lancer un traitement de données à risque. Elle sert à identifier les risques pour les personnes concernées et à décider des mesures pour les réduire.
Le RGPD impose aux organisations de documenter leur conformité : c'est le principe d'accountability. L'AIPD est l'un des outils clés de cette démonstration. Elle prouve que vous avez réfléchi aux risques avant d'agir, et non après un incident.
Attention au vocabulaire. L'AIPD n'évalue pas les risques pour votre entreprise. Elle évalue les risques pour les personnes dont vous traitez les données : vos clients, vos salariés, vos usagers. C'est un renversement de perspective que beaucoup l’organismes oublient.
Le responsable de traitement porte cette obligation. Autrement dit, l'organisation qui décide des finalités et des moyens du traitement. Si vous avez désigné un délégué à la protection des données (DPO), vous lui demandez conseil et vous le chargez de vérifier la bonne exécution de l'analyse.
Quand une AIPD est-elle obligatoire ?
L'article 35 du RGPD pose la règle. Une AIPD est obligatoire dès qu'un traitement est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ». Reste à savoir ce que « risque élevé » veut dire en pratique.
Trois portes d'entrée permettent de trancher. Vous les examinez dans l'ordre.
Les trois cas automatiques prévus par le RGPD
Le règlement lui-même désigne trois types de traitements qui présentent par nature un risque élevé. Selon l'article 35.3 du RGPD, une AIPD est obligatoire dans ces situations :
L'évaluation systématique et approfondie d'aspects personnels par un traitement automatisé, servant de base à des décisions qui affectent significativement les personnes. C'est le cas du profilage à effet juridique.
Le traitement à grande échelle de données sensibles, au sens de l'article 9 du RGPD, ou de données relatives à des condamnations et infractions.
La surveillance systématique à grande échelle d'une zone accessible au public, comme un dispositif de vidéosurveillance couvrant un espace ouvert.
Si votre projet entre dans l'un de ces cas, l'AIPD est due. Le débat est clos.
La liste des traitements soumis à AIPD de la CNIL
La CNIL a publié sa propre liste de traitements soumis à AIPD. Elle figure dans la délibération n° 2018-327 du 11 octobre 20181. Cette liste complète et précise le RGPD pour des traitements fréquents en France. Chaque autorité de contrôle européenne a publié sa propre liste, en fonction de la zone de résidence des personnes concernées par le traitement, vous pouvez consulter la liste de l’autorité de contrôle en charge.
Sur la liste de la CNIL, on y trouve par exemple les traitements de profils de salariés à des fins de surveillance de leur activité, ou les dispositifs de contrôle biométrique pour l'accès à des locaux. Si votre traitement y figure, l'AIPD est obligatoire, sans autre analyse.
En miroir, la CNIL a publié une liste de traitements pour lesquels une AIPD n'est pas requise, dans la délibération n° 2019-118 du 12 septembre 20192. Cette liste négative aide à écarter les faux positifs. Elle ne vous dispense pas de respecter les autres obligations du RGPD.
Les neuf critères du G29
Votre traitement ne relève ni des trois cas du RGPD, ni des listes CNIL ?
Vous appliquez alors la grille des neuf critères. Ces critères viennent des lignes directrices du G29 (WP248, révisées le 4 octobre 2017), reprises par le Comité européen de la protection des données (CEPD)3. Le G29 est l'ancien regroupement des autorités européennes de protection des données, devenu le CEPD.
Les neuf critères sont les suivants :
L'évaluation ou le scoring, y compris le profilage et la prédiction du comportement.
La décision automatisée produisant un effet juridique ou un effet significatif similaire.
La surveillance systématique des personnes.
Le traitement de données sensibles ou de données à caractère hautement personnel.
Le traitement de données à grande échelle.
Le croisement ou la combinaison de jeux de données de sources distinctes.
Le traitement de données concernant des personnes vulnérables, comme des enfants ou des salariés.
L'usage innovant ou l'application de nouvelles solutions technologiques, comme un dispositif d'intelligence artificielle.
Le traitement qui empêche les personnes d'exercer un droit ou de bénéficier d'un service ou d'un contrat.
La règle opérationnelle du CEPD est simple. Dès que votre traitement remplit au moins deux de ces neuf critères, l'AIPD est en principe nécessaire. En cas de doute, la CNIL recommande de la réaliser par prudence. L'analyse vous protège plus qu'elle ne vous coûte.
Que doit contenir une AIPD conforme ?
L'article 35.7 du RGPD fixe le contenu minimal. Une AIPD qui néglige l'un de ces éléments risque d'être jugée incomplète lors d'un contrôle. Quatre composantes sont obligatoires :
Une description systématique du traitement envisagé et de ses finalités.
Une évaluation de la nécessité et de la proportionnalité du traitement au regard de ces finalités.
Une évaluation des risques pour les droits et libertés des personnes concernées.
Les mesures prévues pour traiter ces risques et démontrer la conformité au RGPD.
Retenez la logique. Vous décrivez, vous justifiez, vous évaluez les risques, vous décidez des mesures. Cette structure guide directement la méthode qui suit.
La méthode en 6 étapes
Voici la démarche que vous suivez pour construire une AIPD utilisable. Elle s'appuie sur la méthode de la CNIL, dont le logiciel gratuit PIA outille chaque étape.
Étape 1 — Décrire le traitement
Vous posez le cadre. Quelles données traitez-vous, pour quelle finalité, sur quelle base légale ?
Vous décrivez aussi le cycle de vie complet : collecte, stockage, durée de conservation, destinataires, transferts éventuels.
Vous listez également les supports du traitement : matériels, logiciels, réseaux, sous-traitants. Cette cartographie sert de base à l'analyse des risques.
Étape 2 — Évaluer la nécessité et la proportionnalité
Vous vérifiez que le traitement respecte les principes fondamentaux du RGPD. Les finalités sont-elles déterminées et légitimes ? Les données collectées sont-elles limitées au strict nécessaire ? La durée de conservation est-elle justifiée ?
Vous contrôlez aussi le respect des droits des personnes : information, accès, rectification, opposition. Une AIPD ne sert à rien si le traitement viole déjà ces principes de base.
Étape 3 — Identifier les risques pour les personnes
Vous vous mettez à la place des personnes concernées. Vous examinez trois familles de risques : l'accès illégitime aux données, la modification non désirée, et la disparition des données.
Pour chaque risque, vous imaginez les impacts concrets sur les personnes. Un accès illégitime à des données de santé peut entraîner une discrimination ou une atteinte à la réputation. Vous décrivez ces scénarios, sans les minimiser.
Étape 4 — Évaluer la gravité et la vraisemblance
Vous cotez chaque risque selon deux axes. La gravité mesure l'ampleur du préjudice pour les personnes. La vraisemblance mesure la probabilité que le risque se réalise.
La CNIL propose une échelle à quatre niveaux : négligeable, limitée, importante, maximale. Ce croisement gravité/vraisemblance fait apparaître les risques prioritaires, ceux qui appellent des mesures en premier.
Étape 5 — Décider des mesures
Vous définissez les mesures qui réduisent les risques identifiés. Chiffrement des données, contrôle des accès, pseudonymisation, journalisation, formation des équipes. Chaque mesure doit répondre à un risque précis.
Après application des mesures, vous réévaluez le risque résiduel. S'il reste élevé malgré tout, vous devez consulter la CNIL avant de démarrer le traitement. C'est la consultation préalable prévue par l'article 36 du RGPD.
Étape 6 — Valider et faire vivre l'AIPD
Le responsable de traitement valide formellement l'analyse. Il recueille l'avis du DPO et, quand c'est pertinent, le point de vue des personnes concernées.
L'AIPD n'est pas un document figé. Vous la révisez dès que le traitement évolue : nouvelle finalité, nouveau sous-traitant, nouvelle technologie. La CNIL recommande un réexamen au moins tous les trois ans.
L'AIPD en pratique : exemple commenté et checklist
Un exemple déroulé : la vidéosurveillance augmentée d'un site logistique
Prenons un cas concret pour illustrer la méthode. Il s'agit d'un exemple pédagogique que nous construisons ici, et non d'un dossier réel.
Une entreprise de logistique veut installer un dispositif de vidéosurveillance sur son entrepôt. Le système filme les zones de stockage et détecte automatiquement les comportements anormaux par analyse d'image. Il couvre aussi les accès, ouverts au public pour les livreurs.
Faut-il une AIPD ?
Oui, sans hésitation. Le traitement remplit plusieurs déclencheurs : surveillance systématique, usage innovant d'une technologie d'analyse d'image, traitement à grande échelle. Trois critères, quand deux suffisent.
Description du traitement
L'entreprise filme en continu, conserve les images 30 jours, et restreint l'accès au responsable sûreté. La finalité est la sécurité des biens et des personnes. La base légale est l'intérêt légitime de l'entreprise.
Nécessité et proportionnalité
L'analyse révèle un problème. Les caméras filment aussi une zone de pause des salariés. Cette surveillance dépasse la finalité de sécurité des stocks. Mesure corrective : réorienter les caméras ou apposer un masquage sur les images pour exclure cette zone.
Risques identifiés
Le scénario principal est un accès illégitime aux images, permettant un suivi abusif des salariés. La gravité est importante, car les images révèlent les déplacements et les habitudes des personnes. La vraisemblance est limitée si les accès sont bien contrôlés et sécurisés.
Mesures décidées
L'entreprise chiffre les flux vidéo, restreint les accès par authentification forte, journalise chaque consultation, et informe clairement les salariés par consultation du CSE et affichage. Elle désactive la détection automatique dans les zones sensibles.
Risque résiduel
Après ces mesures, le risque redescend à un niveau acceptable. Pas besoin de consultation préalable de la CNIL. Le projet peut démarrer, avec une AIPD documentée à l'appui.
Cet exemple montre l'intérêt réel de l'AIPD. Elle n'est pas une formalité administrative. Elle a fait apparaître une surveillance disproportionnée et déclenché une correction concrète avant le déploiement.
Checklist AIPD : les points à vérifier
Utilisez cette checklist pour contrôler que votre AIPD est complète avant validation :
Vous avez vérifié l'obligation via les trois cas du RGPD, les listes CNIL et les neuf critères du G29.
Vous avez décrit le traitement, ses finalités, sa base légale et son cycle de vie complet.
Vous avez évalué la nécessité et la proportionnalité au regard des principes du RGPD.
Vous avez identifié les risques d'accès illégitime, de modification et de disparition des données.
Vous avez coté chaque risque en gravité et en vraisemblance.
Vous avez défini des mesures concrètes rattachées à chaque risque, puis réévalué le risque résiduel.
Vous avez recueilli l'avis du DPO et fait valider l'analyse par le responsable de traitement.
Si un risque résiduel reste élevé après les mesures, ajoutez une étape : consulter la CNIL avant de lancer le traitement.
Ce qu'il faut retenir
L'AIPD est obligatoire dès qu'un traitement présente un risque élevé pour les personnes. Vous tranchez cette question avec trois outils : les cas automatiques de l'article 35 du RGPD, les listes de la CNIL, et la règle des deux critères sur neuf du G29.
La méthode tient en six étapes : décrire, justifier, identifier les risques, les coter, décider des mesures, valider. Le contenu minimal est fixé par l'article 35.7 du RGPD, et vous ne pouvez en écarter aucune composante.
Ne négligez pas cette obligation. L'absence d'AIPD, quand elle est requise, est un manquement autonome. Mais, une AIPD bien menée est d'abord une protection : pour les personnes, et pour vous.
Sécurisez vos projets dès la conception
Vidéosurveillance intelligente, scoring, RH : certains projets ne peuvent pas démarrer sans AIPD, et une analyse mal menée n'a pas plus de valeur qu'une analyse absente. La Robe Numérique réalise vos AIPD avec vos équipes projet, de la qualification du besoin jusqu'au plan d'action correctif.
