O P T - O N

Pour un numérique responsable ...

5 étapes pour mener une AIPD efficace

5 étapes pour mener une AIPD efficace

Allons droit au but : une AIPD sert à vérifier un traitement à risque élevé avant son lancement, puis à garder une trace écrite de l’analyse. Si elle est bien réalisée, le dossier couvre 5 points :

  • définir le traitement
  • vérifier si l’AIPD est imposée
  • tester la base légale, la proportion et les finalités
  • mesurer les risques et choisir les mesures
  • valider, archiver et revoir le dossier

Pourquoi ce travail compte ? Parce qu’une AIPD fait partie des mécanismes qui permettent aux organisations de démontrer leur conformité au RGPD. Les autorités de contrôle, comme la CNIL, tiennent compte du respect de ces obligations dans leurs missions de contrôle.

En pratique, 3 règles simples sont à retenir :

  • documenter la décision, y compris lorsqu’il est conclu qu’aucune AIPD n’est requise ;
  • consulter le DPO et conserver son avis ;
  • saisir la CNIL si un risque élevé subsiste avant la mise en service du traitement.

Voici le fil du guide, en version courte :

ÉtapeCe qui est à vérifierCe qui est produit
1Le périmètre du traitement, les acteurs, les flux, le stockageUne fiche de cadrage
2Les listes CNIL et les critères de risque élevéUne décision motivée
3La base légale, la minimisation, l’information, la conservation, les droitsUne analyse RGPD
4La gravité, la probabilité, les scénarios de risque, les mesuresUne cartographie des risques
5La validation, le risque résiduel, la conservation du dossier, les révisionsUne AIPD datée et validée

En clair : si vous pouvez expliquer le traitement, prouver pourquoi il est licite, montrer les risques pour les personnes et lister les mesures prévues, votre AIPD tient la route.

Les 5 étapes d'une AIPD efficace (RGPD)

Les 5 étapes d’une AIPD efficace (RGPD)

Étape 1 : Identifier le traitement et délimiter son périmètre

Une AIPD sérieuse part d’un périmètre net. Avant même de parler de risques, il faut définir quel traitement vous analysez et où il commence et s’arrête.

Décrire le traitement de façon concrète

Décrivez le traitement de manière simple et précise : sa finalité, sa base légale, les données concernées, les personnes concernées, les lieux d’hébergement et la durée de conservation pour chaque catégorie de données.

Faites bien la différence entre les données sensibles, comme les données de santé ou les données biométriques, et les données à risque, comme la géolocalisation ou les données financières. Selon le contexte, certaines personnes peuvent aussi être plus exposées que d’autres. Il faut donc les repérer dès le départ.

Dès cette phase, associez le DPO, le RSSI, les équipes juridiques et les équipes métier. Pour un système d’IA, séparez bien la phase d’entraînement de la phase de production : les risques ne sont pas les mêmes.

Cette base servira ensuite à examiner la nécessité du traitement, sa proportionnalité et les risques.

Cartographier les acteurs et les supports

Une fois le périmètre posé, passez à la cartographie. L’idée est simple : savoir qui intervient, sur quoi, et comment les données circulent. C’est souvent là qu’on évite les angles morts.

ÉlémentCe qu’il faut préciser
Acteurs et parties prenantesResponsable de traitement, responsables conjoints, sous-traitants, DPO, RSSI, équipes juridiques et métier
Supports techniquesLogiciels, serveurs, bases de données, réseaux, interfaces, fichiers papier
Flux de donnéesOrigine, transferts internes, destinataires externes, transferts hors de l’EEE
DestinatairesServices internes, prestataires, tiers
StockageEmplacements physiques ou cloud
Durées de conservationDurée de conservation par catégorie de données

Pour faire ce travail proprement, appuyez-vous sur des sources déjà disponibles : le registre des activités, les audits de sécurité et les contrats avec les prestataires. L’outil PIA de la CNIL propose aussi des grilles utiles pour organiser cette cartographie.

Étape 2 : Déterminer si une AIPD est obligatoire

Une fois le périmètre posé, il faut vérifier si le traitement entre dans un cas où l’AIPD s’impose. La CNIL conseille une méthode simple : commencez par les listes proposées par l’autorité, puis regardez les neuf critères du CEPD (Contrôleur européen de la protection des données) si le traitement n’apparaît dans aucune d’elles.

Appliquer les critères de risque élevé de la CNIL

La CNIL a publié deux listes de référence. La liste positive (délibération n° 2018-327) recense les traitements pour lesquels l’AIPD est obligatoire. La liste négative (délibération n° 2019-118) vise ceux qui en sont dispensés.

Si votre traitement ne figure sur aucune de ces deux listes, passez aux neuf critères du CEPD :

CritèreExemple concret
Évaluation ou scoringProfilage comportemental, scoring de crédit
Décision automatiséeRejet automatique d’un crédit ou d’un recrutement
Surveillance systématiqueSuivi des activités des salariés, vidéosurveillance
Données sensiblesDonnées de santé, biométriques, génétiques, pénales
Grande échelleVolume élevé de données ou de personnes
CroisementFusion de bases de données issues de sources différentes
Personnes vulnérablesMineurs, patients, personnes âgées, salariés
Technologie innovanteIntelligence artificielle, IoT, reconnaissance faciale
Restriction des droitsEmpêche l’accès à un service ou à un droit

« À partir de deux critères, l’AIPD devient fortement recommandée. » – CNIL

Dit autrement : si deux critères sont cochés, le signal est déjà fort. Et dans certains cas, un seul critère peut suffire à rendre l’AIPD obligatoire.

AIPD obligatoire ou non : comparaison

Pour aller droit au but, mettez votre traitement en face de cas typiques.

AIPD obligatoireAIPD non obligatoire
Données de santé à grande échelle (ex. : système d’information hospitalier)Gestion RH standard dans une PME, sans profilage ni données sensibles
Surveillance systématique des activités des salariésGestion de la comptabilité fournisseurs et clients
Contrôle d’accès biométriqueAdhérents d’une association locale
Profilage entraînant l’exclusion d’un service ou d’un contratAIPD similaire déjà réalisée
Vidéosurveillance à grande échelle d’espaces publicsÉtude d’impact déjà prévue par un texte

Le point à ne pas rater, c’est la documentation de la décision. Même si vous concluez qu’aucune AIPD n’est requise, il faut garder une trace des éléments vérifiés : critères examinés, liste consultée et avis du DPO. Cette trace répond au principe de responsabilité prévu par l’article 5.2 du RGPD. L’avis du DPO doit être demandé et consigné à cette étape.

Si l’AIPD est requise, passez ensuite à l’analyse de nécessité et de proportionnalité.

Étape 3 : Évaluer la nécessité et la proportionnalité

Après avoir défini le périmètre et confirmé qu’une AIPD s’impose, il faut vérifier un point souvent mis de côté : le traitement est-il à la fois nécessaire et proportionné ? L’AIPD doit le montrer noir sur blanc, avec un lien clair avec le RGPD.

Vérifier la base légale et la limitation des finalités

Commencez par l’essentiel : pourquoi collectez-vous ces données, et sur quel fondement ?
L’article 6 du RGPD impose de documenter une base légale précise pour chaque traitement : consentement, contrat, obligation légale, intérêt légitime, etc. Une base légale absente, floue ou mal tracée affaiblit l’AIPD.

Ensuite, passez chaque donnée au crible avec le test de minimisation. L’idée est simple : pour chaque champ collecté, demandez-vous « est-ce vraiment indispensable à la finalité déclarée ? ». Si la réponse est non, il faut le retirer du périmètre.

Exemple : un site e-commerce qui demande le numéro de sécurité sociale pour une livraison standard ne respecte pas ce principe. Pour expédier une commande, le nom, l’adresse et l’e-mail suffisent.

PrincipeArticle RGPDAction de vérification
Base légaleArt. 6Documenter la base retenue
MinimisationArt. 5.1.cJustifier chaque donnée collectée
Limitation des finalitésArt. 5.1.bVérifier l’absence d’usage secondaire incompatible
Durées de conservationArt. 5.1.eFixer une durée ou un critère de suppression

Il faut aussi vérifier la limitation des finalités. Autrement dit, les données ne doivent pas être réutilisées plus tard pour un autre usage qui n’a rien à voir avec l’objectif de départ. C’est souvent là que les choses dérapent : on collecte pour un service précis, puis on recycle les données pour du marketing, de l’analyse interne ou un autre projet.

Vérifier la transparence, les durées de conservation et les droits des personnes

Regardez ensuite la transparence. Les mentions d’information prévues par les articles 13 et 14 du RGPD doivent être accessibles avant la collecte, écrites de façon claire, et citer sans détour chaque catégorie de données ainsi que sa finalité. Une politique de confidentialité noyée dans les CGU, ou rédigée dans un jargon de juriste, ne fait pas le travail.

Même logique pour les durées de conservation. Elles doivent être définies et justifiées pour chaque catégorie de données. Pas de formule vague du type « jusqu’à nouvel ordre ». En France, certaines durées sont fixées par des textes précis. Par exemple, les dossiers médicaux en établissement de santé doivent être conservés pendant 20 ans. Ce genre de règle locale doit apparaître clairement dans l’AIPD.

Enfin, il faut aller au-delà du papier et vérifier qu’il existe de vraies procédures opérationnelles pour traiter les demandes liées aux droits des personnes :

  • accès
  • rectification
  • effacement
  • opposition
  • limitation

Mettre une adresse e-mail dans la politique de confidentialité ne suffit pas. Il faut tester le circuit interne : qui reçoit la demande, qui la qualifie, qui répond, dans quel délai, et comment la trace est gardée. En clair, il faut s’assurer que la demande suit un parcours net d’un bout à l’autre. Pensez aussi à consigner l’avis du DPO avec l’analyse.

Ce cadrage pose la base pour l’évaluation des risques et pour le choix des mesures de protection.

Étape 4 : Évaluer les risques et définir les mesures de protection

Une fois la nécessité et la proportionnalité validées, il faut mesurer l’impact du traitement sur les droits et libertés des personnes : discrimination, perte de contrôle des données, ou encore préjudice financier. Le plus simple est de commencer par les scénarios les plus plausibles. Ça évite de partir dans tous les sens.

Évaluer la gravité et la probabilité des risques

La méthode conseillée par la CNIL s’appuie sur une matrice à deux dimensions : la gravité – autrement dit, l’ampleur des conséquences pour la personne – et la probabilité que l’événement se produise. Chaque critère est évalué sur quatre niveaux : Négligeable, Limitée, Importante et Maximale.

Pour bâtir vos scénarios, partez des événements redoutés liés aux données : accès non autorisé, modification non souhaitée ou disparition des données. Ensuite, faites le lien entre chaque événement, la menace en cause, la faille qui le rend possible et l’impact concret pour la personne concernée. À partir de là, vous pouvez classer chaque scénario dans la matrice.

Probabilité / GravitéNégligeableLimitéeImportanteMaximale
NégligeableFaibleFaibleMoyenMoyen
LimitéeFaibleMoyenMoyenÉlevé
ImportanteMoyenMoyenÉlevéÉlevé
MaximaleMoyenÉlevéÉlevéÉlevé

Si, même après la mise en place des mesures, le risque résiduel reste élevé, l’organisation doit consulter la CNIL avant de lancer le traitement. L’autorité dispose alors de 8 semaines pour répondre, avec une prolongation possible de 6 semaines pour les cas complexes.

Choisir les mesures techniques et organisationnelles

Chaque risque repéré doit être associé à une mesure de réduction claire. Pas de formule floue ici : pour chaque risque, prévoyez des mesures concrètes – déjà en place ou prévues – et rattachez-les clairement au scénario qu’elles visent.

Catégorie de risqueMesures techniquesMesures organisationnelles
Accès non autoriséChiffrement des données au repos et en transit, authentification multifacteur, contrôles d’accès strictsFormation du personnel, charte d’utilisation, revues d’accès
Altération des donnéesJournalisation, contrôles d’intégritéProcédures d’incident, contrats de sous-traitance conformes à l’article 28
Perte de donnéesSauvegardes, redondance, plan de reprisePlan de continuité, gestion des incidents
Atteinte aux droitsPseudonymisation, minimisation des donnéesAudits algorithmiques, intervention humaine, consultation du DPO

Pour chaque mesure planifiée, indiquez aussi le responsable, le coût et l’échéance. Dit autrement : qui fait quoi, pour combien, et avant quand.

Étape 5 : Valider, documenter et maintenir l’AIPD à jour

Une fois les risques traités, il faut mettre l’AIPD au propre, la faire valider par le responsable de traitement, le DPO et le chef de projet, puis prévoir ses mises à jour. À ce stade, on ne parle plus d’un simple exercice de conformité. On parle d’un dossier qu’on peut relire, défendre et utiliser pour piloter le traitement dans le temps.

« L’AIPD doit être réalisée avant la mise en œuvre du traitement. C’est un processus itératif, les analyses doivent être revues et corrigées de manière régulière. » – CNIL

Constituer le dossier final de l’AIPD

Le dossier final regroupe les preuves de l’analyse et la décision de validation. Il doit être daté et validé avant le lancement du traitement.

ComposanteContenu attendu
Description du traitementPérimètre, finalités, données, acteurs
Nécessité et proportionnalitéBase légale, minimisation, conservation
Évaluation des risquesMenaces, gravité, probabilité
Mesures retenuesMesures techniques et organisationnelles
Risque résiduelNiveau restant et justification de son acceptation
Avis du DPOMéthode, complétude, niveau de risque résiduel
ValidationSignatures datées et décision d’acceptation du risque résiduel

En clair, le dossier doit permettre de répondre à une question simple : qu’a-t-on évalué, quels choix ont été faits, et qui les a validés ?

Si le risque résiduel reste élevé, il faut consulter la CNIL avant la mise en œuvre. Le dossier doit ensuite être conservé pendant toute la durée du traitement, puis au moins 3 ans.

Planifier les révisions et s’appuyer sur une expertise externe

Une AIPD validée ne sert à rien si elle ne suit pas la réalité du terrain. Un traitement évolue. Les outils changent, les flux de données aussi, et parfois un détail qu’on croyait mineur change tout.

Il faut donc revoir l’AIPD au moins tous les 3 ans, chaque année dans les secteurs sensibles, et après tout changement majeur. Même logique dès qu’un changement significatif intervient, par exemple :

  • modification de la finalité
  • ajout de données sensibles
  • nouveau sous-traitant hors UE
  • incident de sécurité majeur

Quand l’équipe manque de temps ou de compétences en interne, un appui externe peut aider à cadrer la rédaction et les mises à jour. Opt-on accompagne la préparation, la rédaction et la révision des AIPD.

FAQs

Qui doit participer à une AIPD ?

Une AIPD repose sur un travail mené à plusieurs. Le responsable de traitement dirige la démarche et doit demander l’avis du DPO.

Il faut aussi faire participer les équipes techniques, les services juridiques et les fonctions métier concernées. Et ce n’est pas un détail. Chacun voit une partie du sujet : la technique regarde le fonctionnement, le juridique vérifie le cadre, et les équipes métier ramènent le projet à son usage concret.

La consultation des utilisateurs finaux est aussi fortement recommandée. Elle aide à mieux comprendre les usages sur le terrain et à mesurer les impacts de façon plus juste.

Quels traitements sont les plus à risque ?

Les traitements qui présentent un risque élevé pour les droits et libertés des personnes concernées imposent une AIPD. La CNIL cite en particulier les traitements de données de santé, l’usage de données génétiques, le profilage des salariés, la surveillance systématique et la gestion des lanceurs d’alerte.

Du côté du CEPD, on retrouve aussi neuf critères. Dès qu’au moins deux sont réunis, l’AIPD peut devenir obligatoire.

Quand faut-il mettre à jour une AIPD ?

L’AIPD n’est pas un document qu’on rédige une fois pour toutes, puis qu’on range dans un dossier.

C’est un processus itératif. Il doit donc être revu à intervalles réguliers.

Une mise à jour s’impose dès qu’un changement majeur touche le traitement, que la réglementation évolue ou qu’un incident survient. La CNIL conseille aussi une révision annuelle, en particulier dans le secteur de la santé.