L'AIPD (analyse d'impact) RGPD : quand et comment la faire

Derrière le sigle AIPD se cache une étape que beaucoup redoutent, alors qu'elle n'est exigée que dans certains cas. Voici quand elle s'impose et comment la mener sans y passer des semaines.

L'AIPD, c'est quoi ?

AIPD signifie « analyse d'impact relative à la protection des données » (en anglais DPIA). C'est une étude qui sert à identifier et réduire les risques qu'un traitement fait peser sur la vie privée des personnes. Elle est prévue par l'article 35 du RGPD.

L'idée est simple : avant de lancer un traitement à risque, on prend le temps d'évaluer ce qui pourrait mal tourner pour les personnes, et on met en place des garde-fous.

Quand est-elle obligatoire ?

L'AIPD n'est requise que lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Le RGPD cite trois cas typiques : l'évaluation systématique et à grande échelle (profilage), le traitement à grande échelle de données sensibles, et la surveillance systématique d'une zone accessible au public.

La CNIL publie une liste des types de traitements qui imposent une AIPD, et une liste de ceux qui en sont dispensés. En cas de doute, ces listes sont le bon point de départ.

Ce qu'elle contient

Une AIPD décrit généralement quatre choses : le traitement et ses finalités ; la nécessité et la proportionnalité (avez-vous vraiment besoin de toutes ces données ?) ; les risques pour les personnes ; et les mesures prévues pour réduire ces risques. La logique rejoint celle de l'analyse des risques en sécurité, mais centrée sur la vie privée plutôt que sur les systèmes.

Comment la mener en PME

Pas besoin d'un cabinet pour la plupart des cas. La CNIL propose un logiciel gratuit dédié (PIA) qui structure la démarche pas à pas. Associez les bonnes personnes : celui qui pilote le traitement, un profil technique pour les mesures de sécurité, et si vous en avez un, votre référent données. L'AIPD doit être menée avant le lancement du traitement, pas après.

Un document vivant

Comme le reste, l'AIPD se met à jour : si le traitement évolue de façon significative (nouvelles données, nouveau public, nouvelle finalité), il faut la revoir. Une AIPD figée qui ne correspond plus à la réalité n'a aucune valeur en cas de contrôle.

En résumé

L'AIPD est une analyse des risques centrée sur la vie privée, obligatoire uniquement pour les traitements à risque élevé (profilage à grande échelle, données sensibles massives, surveillance). Elle décrit le traitement, sa nécessité, ses risques et les mesures de réduction. L'outil PIA de la CNIL la rend accessible à une PME, à condition de la faire avant de lancer le traitement.

FAQ

Tous les traitements nécessitent-ils une AIPD ? Non. Seuls ceux à risque élevé. La CNIL publie des listes des traitements qui l'imposent et de ceux qui en sont dispensés.

Qui doit la réaliser ? Le responsable du traitement, souvent avec l'aide d'un référent données et d'un profil technique. Un outil gratuit (PIA de la CNIL) guide la démarche.

Que se passe-t-il si les risques restent élevés malgré tout ? Si, après l'AIPD, le risque résiduel reste élevé, vous devez consulter la CNIL avant de lancer le traitement.