Comment réaliser une Analyse d'Impact relative à la Protection des Données (AIPD) ?

L'Analyse d'Impact relative à la Protection des Données, ou AIPD, est une étude obligatoire pour tout traitement de données personnelles susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées : profilage à grande échelle, vidéosurveillance, traitement de données de santé, entre autres. La CNIL met à disposition un logiciel gratuit, PIA, ainsi qu'une méthodologie détaillée pour structurer cette analyse, ce qui limite l'argument du manque d'outils pour ne pas la réaliser.

Quand une AIPD est-elle obligatoire ?

Une AIPD est requise dès lors qu'un traitement remplit au moins deux des critères suivants : évaluation ou notation des personnes, décision automatisée avec effet juridique, surveillance systématique, traitement de données sensibles à grande échelle, croisement de données, ou traitement concernant des personnes vulnérables.

Diagnostic RGPD·Voir un aperçu du diagnostic

Les étapes d'une AIPD

Décrire le traitement envisagé : finalités, données collectées, destinataires, durée de conservation.
Évaluer la nécessité et la proportionnalité du traitement au regard de sa finalité.
Identifier les risques pour les personnes concernées : accès illégitime, modification non désirée, disparition des données.
Évaluer la gravité et la vraisemblance de chaque risque identifié.
Définir des mesures pour réduire ces risques à un niveau acceptable.
Documenter l'ensemble de la démarche, pour pouvoir la présenter à la CNIL en cas de contrôle.

Structure type d'une AIPD

Section	Contenu
Contexte	Description du traitement, finalités, responsable de traitement
Principes	Nécessité, proportionnalité, mesures assurant les droits des personnes
Risques	Sources de risques, impacts potentiels, mesures existantes
Plan d'action	Mesures complémentaires à mettre en oeuvre et responsables associés

Erreurs fréquentes

Réaliser l'AIPD après la mise en production du traitement, alors qu'elle doit précéder sa mise en oeuvre.
Se limiter à une liste de mesures de sécurité techniques, sans évaluer réellement les risques pour les personnes.
Ne jamais mettre à jour l'AIPD alors que le traitement évolue.

Une AIPD bien menée ne se limite pas à remplir un modèle : sa valeur dépend entièrement du sérieux de l'évaluation des risques qu'elle contient, pas de sa conformité formelle au plan attendu. Une AIPD produite pour la forme, sans réelle remise en question du traitement, n'apporte ni protection aux personnes concernées ni garantie en cas de contrôle. S'appuyer sur une cartographie des traitements et des risques déjà identifiés lors d'un diagnostic RGPD en accélère toutefois nettement la réalisation.