Comment réaliser une Analyse d'Impact relative à la Protection des Données (AIPD) ?

L'Analyse d'Impact relative à la Protection des Données, ou AIPD, est une étude obligatoire pour tout traitement de données personnelles susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées : profilage à grande échelle, vidéosurveillance, traitement de données de santé, entre autres. La CNIL met à disposition un logiciel gratuit, PIA, ainsi qu'une méthodologie détaillée pour structurer cette analyse, ce qui limite l'argument du manque d'outils pour ne pas la réaliser.

Quand une AIPD est-elle obligatoire ?

Une AIPD est requise dès lors qu'un traitement remplit au moins deux des critères suivants : évaluation ou notation des personnes, décision automatisée avec effet juridique, surveillance systématique, traitement de données sensibles à grande échelle, croisement de données, ou traitement concernant des personnes vulnérables.

Les étapes d'une AIPD

1. Décrire le traitement envisagé : finalités, données collectées, destinataires, durée de conservation.
2. Évaluer la nécessité et la proportionnalité du traitement au regard de sa finalité.
3. Identifier les risques pour les personnes concernées : accès illégitime, modification non désirée, disparition des données.
4. Évaluer la gravité et la vraisemblance de chaque risque identifié.
5. Définir des mesures pour réduire ces risques à un niveau acceptable.
6. Documenter l'ensemble de la démarche, pour pouvoir la présenter à la CNIL en cas de contrôle.

Structure type d'une AIPD

Exemple concret : la vidéosurveillance d'un entrepôt

Une entreprise qui installe des caméras de vidéosurveillance dans ses entrepôts, avec reconnaissance faciale pour contrôler les accès, illustre bien la démarche. Sur les six critères de la CNIL, ce traitement en remplit au moins trois : surveillance systématique des employés, utilisation de données biométriques (donc sensibles), et parfois croisement avec un système de badge existant. L'AIPD devra donc démontrer que la finalité (sécuriser l'accès à des zones sensibles) ne peut pas être atteinte par un moyen moins intrusif, comme un simple badge sans biométrie, avant de documenter les mesures de réduction du risque : durée de conservation limitée des images, accès restreint aux enregistrements, information claire des salariés. C'est précisément ce type de traitement — vidéosurveillance disproportionnée assortie d'un défaut d'information — que la CNIL a sanctionné chez Amazon.fr à hauteur de 35 millions d'euros en janvier 2024, aux côtés d'un manquement sur les cookies publicitaires.

Utiliser l'outil PIA de la CNIL

Le logiciel PIA, gratuit et téléchargeable sur le site de la CNIL, structure la démarche en modules correspondant exactement aux quatre parties attendues d'une AIPD : contexte, mesures, risques, validation. Il intègre une base de connaissances des menaces et mesures courantes, ce qui évite de partir d'une page blanche, et génère un rapport exportable directement présentable en cas de contrôle. Son principal intérêt pour une PME sans expertise juridique interne est de forcer une évaluation quantifiée de la gravité et de la vraisemblance de chaque risque, plutôt qu'une appréciation qualitative vague du type « risque faible ».

Bonnes pratiques pour une AIPD utile

• Impliquer le métier porteur du projet dès le départ, pas seulement le DPO ou le service juridique, pour ancrer l'analyse dans la réalité opérationnelle.
• Documenter les alternatives moins intrusives envisagées et écartées, pas seulement la solution retenue.
• Faire valider explicitement l'AIPD par le responsable de traitement avant le lancement du projet, avec une trace écrite de cette validation.
• Revoir l'AIPD à chaque évolution significative du traitement, pas uniquement à intervalle fixe.

Erreurs fréquentes

• Réaliser l'AIPD après la mise en production du traitement, alors qu'elle doit précéder sa mise en oeuvre.
• Se limiter à une liste de mesures de sécurité techniques, sans évaluer réellement les risques pour les personnes.
• Ne jamais mettre à jour l'AIPD alors que le traitement évolue.

Une AIPD bien menée ne se limite pas à remplir un modèle : sa valeur dépend entièrement du sérieux de l'évaluation des risques qu'elle contient, pas de sa conformité formelle au plan attendu. Une AIPD produite pour la forme, sans réelle remise en question du traitement, n'apporte ni protection aux personnes concernées ni garantie en cas de contrôle. S'appuyer sur une cartographie des traitements et des risques déjà identifiés lors d'un diagnostic RGPD en accélère toutefois nettement la réalisation.