Vous entrez dans un espace virtuel nous permettant de vous présenter nos activités, et vous offrant la possibilité d'entrer en contact avec notre accueil commercial dans le cadre d'une relation BtoB.
Notre site collecte des informations sur votre visite et utilise des modules strictement nécessaires. Ces informations ne nous permettent pas d'identifier les visiteurs et d'utiliser les données à des fins commerciales.
Afin de vous proposez d'entrer en contact avec nous, et des réaliser des statistiques plus précises, nous devons vous demander l'autorisation pour utiliser des modules complémentaires.
Il s'agit de données vous assurant un affichage correct des pages selon votre appareil, permettant d'assurer la sécurité du notre site, de proposer des moyens de contact et de réaliser des statistiques anonymes.
Le stockage ou l’accès technique est nécessaire dans la finalité d’intérêt légitime de stocker des préférences qui ne sont pas demandées par l’abonné ou la personne utilisant le service.
Ils s'agit de données nous permettant de réaliser des analyses statistiques anonymes plus précises et notamment l'ordre des pages qu'un visiteur consulte
Le stockage ou l’accès technique qui est utilisé exclusivement dans des finalités statistiques anonymes. En l’absence d’une assignation à comparaître, d’une conformité volontaire de la part de votre fournisseur d’accès à internet ou d’enregistrements supplémentaires provenant d’une tierce partie, les informations stockées ou extraites à cette seule fin ne peuvent généralement pas être utilisées pour vous identifier.
Il s'agit des données individuelles collectées via les intégrations de notre CRM nous permettant de savoir par exemple si vous avez déjà visité notre site.
5 étapes pour mener une AIPD efficace
Allons droit au but : une AIPD sert à vérifier un traitement à risque élevé avant son lancement, puis à garder une trace écrite de l’analyse. Si elle est bien réalisée, le dossier couvre 5 points :
Pourquoi ce travail compte ? Parce qu’une AIPD fait partie des mécanismes qui permettent aux organisations de démontrer leur conformité au RGPD. Les autorités de contrôle, comme la CNIL, tiennent compte du respect de ces obligations dans leurs missions de contrôle.
En pratique, 3 règles simples sont à retenir :
Voici le fil du guide, en version courte :
En clair : si vous pouvez expliquer le traitement, prouver pourquoi il est licite, montrer les risques pour les personnes et lister les mesures prévues, votre AIPD tient la route.
Les 5 étapes d’une AIPD efficace (RGPD)
Étape 1 : Identifier le traitement et délimiter son périmètre
Une AIPD sérieuse part d’un périmètre net. Avant même de parler de risques, il faut définir quel traitement vous analysez et où il commence et s’arrête.
Décrire le traitement de façon concrète
Décrivez le traitement de manière simple et précise : sa finalité, sa base légale, les données concernées, les personnes concernées, les lieux d’hébergement et la durée de conservation pour chaque catégorie de données.
Faites bien la différence entre les données sensibles, comme les données de santé ou les données biométriques, et les données à risque, comme la géolocalisation ou les données financières. Selon le contexte, certaines personnes peuvent aussi être plus exposées que d’autres. Il faut donc les repérer dès le départ.
Dès cette phase, associez le DPO, le RSSI, les équipes juridiques et les équipes métier. Pour un système d’IA, séparez bien la phase d’entraînement de la phase de production : les risques ne sont pas les mêmes.
Cette base servira ensuite à examiner la nécessité du traitement, sa proportionnalité et les risques.
Cartographier les acteurs et les supports
Une fois le périmètre posé, passez à la cartographie. L’idée est simple : savoir qui intervient, sur quoi, et comment les données circulent. C’est souvent là qu’on évite les angles morts.
Pour faire ce travail proprement, appuyez-vous sur des sources déjà disponibles : le registre des activités, les audits de sécurité et les contrats avec les prestataires. L’outil PIA de la CNIL propose aussi des grilles utiles pour organiser cette cartographie.
sbb-itb-9879cb5
Étape 2 : Déterminer si une AIPD est obligatoire
Une fois le périmètre posé, il faut vérifier si le traitement entre dans un cas où l’AIPD s’impose. La CNIL conseille une méthode simple : commencez par les listes proposées par l’autorité, puis regardez les neuf critères du CEPD (Contrôleur européen de la protection des données) si le traitement n’apparaît dans aucune d’elles.
Appliquer les critères de risque élevé de la CNIL
La CNIL a publié deux listes de référence. La liste positive (délibération n° 2018-327) recense les traitements pour lesquels l’AIPD est obligatoire. La liste négative (délibération n° 2019-118) vise ceux qui en sont dispensés.
Si votre traitement ne figure sur aucune de ces deux listes, passez aux neuf critères du CEPD :
Dit autrement : si deux critères sont cochés, le signal est déjà fort. Et dans certains cas, un seul critère peut suffire à rendre l’AIPD obligatoire.
AIPD obligatoire ou non : comparaison
Pour aller droit au but, mettez votre traitement en face de cas typiques.
Le point à ne pas rater, c’est la documentation de la décision. Même si vous concluez qu’aucune AIPD n’est requise, il faut garder une trace des éléments vérifiés : critères examinés, liste consultée et avis du DPO. Cette trace répond au principe de responsabilité prévu par l’article 5.2 du RGPD. L’avis du DPO doit être demandé et consigné à cette étape.
Si l’AIPD est requise, passez ensuite à l’analyse de nécessité et de proportionnalité.
Étape 3 : Évaluer la nécessité et la proportionnalité
Après avoir défini le périmètre et confirmé qu’une AIPD s’impose, il faut vérifier un point souvent mis de côté : le traitement est-il à la fois nécessaire et proportionné ? L’AIPD doit le montrer noir sur blanc, avec un lien clair avec le RGPD.
Vérifier la base légale et la limitation des finalités
Commencez par l’essentiel : pourquoi collectez-vous ces données, et sur quel fondement ?
L’article 6 du RGPD impose de documenter une base légale précise pour chaque traitement : consentement, contrat, obligation légale, intérêt légitime, etc. Une base légale absente, floue ou mal tracée affaiblit l’AIPD.
Ensuite, passez chaque donnée au crible avec le test de minimisation. L’idée est simple : pour chaque champ collecté, demandez-vous « est-ce vraiment indispensable à la finalité déclarée ? ». Si la réponse est non, il faut le retirer du périmètre.
Il faut aussi vérifier la limitation des finalités. Autrement dit, les données ne doivent pas être réutilisées plus tard pour un autre usage qui n’a rien à voir avec l’objectif de départ. C’est souvent là que les choses dérapent : on collecte pour un service précis, puis on recycle les données pour du marketing, de l’analyse interne ou un autre projet.
Vérifier la transparence, les durées de conservation et les droits des personnes
Regardez ensuite la transparence. Les mentions d’information prévues par les articles 13 et 14 du RGPD doivent être accessibles avant la collecte, écrites de façon claire, et citer sans détour chaque catégorie de données ainsi que sa finalité. Une politique de confidentialité noyée dans les CGU, ou rédigée dans un jargon de juriste, ne fait pas le travail.
Même logique pour les durées de conservation. Elles doivent être définies et justifiées pour chaque catégorie de données. Pas de formule vague du type « jusqu’à nouvel ordre ». En France, certaines durées sont fixées par des textes précis. Par exemple, les dossiers médicaux en établissement de santé doivent être conservés pendant 20 ans. Ce genre de règle locale doit apparaître clairement dans l’AIPD.
Enfin, il faut aller au-delà du papier et vérifier qu’il existe de vraies procédures opérationnelles pour traiter les demandes liées aux droits des personnes :
Mettre une adresse e-mail dans la politique de confidentialité ne suffit pas. Il faut tester le circuit interne : qui reçoit la demande, qui la qualifie, qui répond, dans quel délai, et comment la trace est gardée. En clair, il faut s’assurer que la demande suit un parcours net d’un bout à l’autre. Pensez aussi à consigner l’avis du DPO avec l’analyse.
Ce cadrage pose la base pour l’évaluation des risques et pour le choix des mesures de protection.
Étape 4 : Évaluer les risques et définir les mesures de protection
Une fois la nécessité et la proportionnalité validées, il faut mesurer l’impact du traitement sur les droits et libertés des personnes : discrimination, perte de contrôle des données, ou encore préjudice financier. Le plus simple est de commencer par les scénarios les plus plausibles. Ça évite de partir dans tous les sens.
Évaluer la gravité et la probabilité des risques
La méthode conseillée par la CNIL s’appuie sur une matrice à deux dimensions : la gravité – autrement dit, l’ampleur des conséquences pour la personne – et la probabilité que l’événement se produise. Chaque critère est évalué sur quatre niveaux : Négligeable, Limitée, Importante et Maximale.
Pour bâtir vos scénarios, partez des événements redoutés liés aux données : accès non autorisé, modification non souhaitée ou disparition des données. Ensuite, faites le lien entre chaque événement, la menace en cause, la faille qui le rend possible et l’impact concret pour la personne concernée. À partir de là, vous pouvez classer chaque scénario dans la matrice.
Si, même après la mise en place des mesures, le risque résiduel reste élevé, l’organisation doit consulter la CNIL avant de lancer le traitement. L’autorité dispose alors de 8 semaines pour répondre, avec une prolongation possible de 6 semaines pour les cas complexes.
Choisir les mesures techniques et organisationnelles
Chaque risque repéré doit être associé à une mesure de réduction claire. Pas de formule floue ici : pour chaque risque, prévoyez des mesures concrètes – déjà en place ou prévues – et rattachez-les clairement au scénario qu’elles visent.
Pour chaque mesure planifiée, indiquez aussi le responsable, le coût et l’échéance. Dit autrement : qui fait quoi, pour combien, et avant quand.
Étape 5 : Valider, documenter et maintenir l’AIPD à jour
Une fois les risques traités, il faut mettre l’AIPD au propre, la faire valider par le responsable de traitement, le DPO et le chef de projet, puis prévoir ses mises à jour. À ce stade, on ne parle plus d’un simple exercice de conformité. On parle d’un dossier qu’on peut relire, défendre et utiliser pour piloter le traitement dans le temps.
Constituer le dossier final de l’AIPD
Le dossier final regroupe les preuves de l’analyse et la décision de validation. Il doit être daté et validé avant le lancement du traitement.
En clair, le dossier doit permettre de répondre à une question simple : qu’a-t-on évalué, quels choix ont été faits, et qui les a validés ?
Si le risque résiduel reste élevé, il faut consulter la CNIL avant la mise en œuvre. Le dossier doit ensuite être conservé pendant toute la durée du traitement, puis au moins 3 ans.
Planifier les révisions et s’appuyer sur une expertise externe
Une AIPD validée ne sert à rien si elle ne suit pas la réalité du terrain. Un traitement évolue. Les outils changent, les flux de données aussi, et parfois un détail qu’on croyait mineur change tout.
Il faut donc revoir l’AIPD au moins tous les 3 ans, chaque année dans les secteurs sensibles, et après tout changement majeur. Même logique dès qu’un changement significatif intervient, par exemple :
Quand l’équipe manque de temps ou de compétences en interne, un appui externe peut aider à cadrer la rédaction et les mises à jour. Opt-on accompagne la préparation, la rédaction et la révision des AIPD.
FAQs
Qui doit participer à une AIPD ?
Une AIPD repose sur un travail mené à plusieurs. Le responsable de traitement dirige la démarche et doit demander l’avis du DPO.
Il faut aussi faire participer les équipes techniques, les services juridiques et les fonctions métier concernées. Et ce n’est pas un détail. Chacun voit une partie du sujet : la technique regarde le fonctionnement, le juridique vérifie le cadre, et les équipes métier ramènent le projet à son usage concret.
La consultation des utilisateurs finaux est aussi fortement recommandée. Elle aide à mieux comprendre les usages sur le terrain et à mesurer les impacts de façon plus juste.
Quels traitements sont les plus à risque ?
Les traitements qui présentent un risque élevé pour les droits et libertés des personnes concernées imposent une AIPD. La CNIL cite en particulier les traitements de données de santé, l’usage de données génétiques, le profilage des salariés, la surveillance systématique et la gestion des lanceurs d’alerte.
Du côté du CEPD, on retrouve aussi neuf critères. Dès qu’au moins deux sont réunis, l’AIPD peut devenir obligatoire.
Quand faut-il mettre à jour une AIPD ?
L’AIPD n’est pas un document qu’on rédige une fois pour toutes, puis qu’on range dans un dossier.
C’est un processus itératif. Il doit donc être revu à intervalles réguliers.
Une mise à jour s’impose dès qu’un changement majeur touche le traitement, que la réglementation évolue ou qu’un incident survient. La CNIL conseille aussi une révision annuelle, en particulier dans le secteur de la santé.
Articles récents
Thèmes
Catégories