Guide complet pour réaliser une Analyse d’Impact relative à la Protection des Données (AIPD) selon les recommandations de la CNIL – Mon Expert RGPD

Une PME industrielle qui installe des capteurs connectés sur sa chaîne de production, un cabinet de recrutement qui croise des fichiers de candidats avec des scores de personnalité, une clinique privée qui centralise des dossiers patients dans le cloud : ces trois situations ont un point commun. Elles imposent, avant tout déploiement, une Analyse d’Impact relative à la Protection des Données. Ce document, souvent redouté par les directions administratives et financières, n’est pourtant qu’une méthode structurée pour anticiper les dérapages possibles d’un traitement de données. La CNIL en a fixé les contours précis, avec des critères objectifs et une méthodologie en plusieurs étapes. Reste à savoir comment l’appliquer sans se noyer dans le jargon juridique, et surtout comment déterminer si votre entreprise y est réellement soumise.

En bref :

• L’AIPD est obligatoire dès qu’un traitement remplit deux critères sur neuf définis par le CEPD et repris par la CNIL.
• La méthodologie officielle se déroule en 5 étapes : description du traitement, évaluation de la nécessité, analyse des risques, mesures d’atténuation, documentation.
• L’absence d’AIPD sur un traitement qui l’exige constitue un manquement sanctionnable au titre du RGPD.
• Un sous-traitant n’a pas l’obligation légale de réaliser lui-même l’AIPD, mais doit fournir toutes les informations nécessaires au responsable de traitement.
• Faire appel à un Expert RGPD ou un DPO externe réduit sensiblement le risque d’erreur méthodologique.

Qu’est-ce qu’une AIPD et pourquoi la CNIL l’exige-t-elle ?

Une Analyse d’Impact sur la Protection des Données est une procédure formelle permettant d’identifier, d’évaluer et de réduire les risques qu’un traitement de données personnelles fait peser sur les droits et libertés des personnes concernées. Elle porte parfois d’autres noms : Étude d’Impact sur la Vie Privée ou Privacy Impact Assessment. Peu importe l’appellation, l’objectif reste identique : vérifier, avant la mise en production d’un traitement, que celui-ci ne crée pas de danger disproportionné pour les individus.

Prenez l’exemple d’un site industriel qui installe un système de badges biométriques pour contrôler les accès aux zones sensibles. Sans analyse préalable, personne ne mesure les conséquences d’une fuite de gabarits biométriques, données par nature irrévocables. L’AIPD oblige à se poser la question avant l’installation, pas après un incident.

La CNIL a formalisé cette exigence via des guides méthodologiques détaillés qui recensent les bonnes pratiques sectorielles. Ces documents ne sont pas de simples recommandations théoriques : ils servent de référence lors des contrôles et des contentieux. Une entreprise capable de présenter une AIPD structurée démontre une démarche de conformité proactive, ce qui compte lourdement en cas de contrôle.

Le lien entre AIPD et article 35 du RGPD

L’obligation juridique découle directement de l’article 35 du RGPD. Ce texte impose une analyse préalable dès qu’un traitement est susceptible d’engendrer un risque élevé. La notion de « risque élevé » reste volontairement large pour couvrir des situations variées, du secteur bancaire à l’industrie manufacturière. C’est justement cette largeur qui oblige chaque organisation à se poser la question individuellement, plutôt que d’attendre une liste exhaustive.

Retenez que l’AIPD ne remplace pas les autres obligations du RGPD, comme le registre des traitements. Elle vient s’ajouter à la documentation existante et doit être mise à jour à chaque évolution significative du traitement concerné.

Quels traitements déclenchent l’obligation de réaliser une AIPD ?

La question revient systématiquement dans les échanges avec les dirigeants de PME : mon entreprise est-elle concernée ? La réponse dépend de la nature du traitement, pas de la taille de la structure. Une PME de vingt salariés peut être soumise à l’AIPD si elle exploite des données sensibles, tandis qu’un grand groupe qui traite des données classiques peut ne pas y être tenu.

La CNIL a publié une liste de traitements considérés comme systématiquement soumis à l’AIPD, indépendamment de l’analyse au cas par cas. On y retrouve notamment les traitements de données de santé à grande échelle, la vidéosurveillance dans certains contextes professionnels, ou encore les dispositifs de scoring destinés à évaluer la solvabilité de clients.

Exemples concrets issus du secteur industriel

Une entreprise de logistique qui géolocalise sa flotte de véhicules pour optimiser les tournées entre dans le champ de l’AIPD si le suivi est permanent et couvre les trajets personnels des chauffeurs. Un site de production qui déploie des caméras thermiques pour détecter les anomalies de température sur les machines n’est pas automatiquement concerné, sauf si ces caméras captent également des visages identifiables.

La frontière entre traitement anodin et traitement à risque tient souvent à des détails techniques. C’est pour cette raison que la liste actualisée des traitements obligatoires mérite d’être consultée avant tout projet de digitalisation, aussi modeste soit-il en apparence.

Action à retenir : listez tous les traitements de données personnelles actifs dans votre entreprise et confrontez chacun à la liste CNIL avant de lancer un nouveau projet numérique.

Comment savoir si mon entreprise doit réaliser une AIPD ? Les 9 critères CNIL

Au-delà de la liste officielle, le Comité Européen de la Protection des Données a défini neuf critères objectifs. Dès que deux de ces critères sont réunis sur un même traitement, l’AIPD devient obligatoire, sans marge d’interprétation. Cette règle du « deux critères sur neuf » simplifie considérablement la décision, à condition de bien connaître chaque item.

Critère	Exemple concret en entreprise
Profilage ou notation	Scoring de solvabilité avant octroi d’un crédit fournisseur
Décision automatisée avec effet juridique	Refus automatique d’une candidature via un algorithme de tri
Surveillance systématique	Vidéosurveillance continue d’un entrepôt logistique
Données sensibles ou hautement personnelles	Dossiers médicaux, données bancaires détaillées
Traitement à grande échelle	Base clients de plus de 100 000 personnes réparties dans plusieurs pays
Croisement de données	Fusion de fichiers RH et de données de badgeuse
Personnes vulnérables	Fichiers concernant des mineurs ou des patients
Technologie innovante	Reconnaissance faciale, intelligence artificielle générative
Exclusion d’un bénéfice ou d’un contrat	Refus d’assurance basé sur une analyse de données

Ce tableau illustre bien que des situations très courantes en PME peuvent basculer dans le champ obligatoire. Un service RH qui combine des données de badgeuse avec des évaluations de performance cumule potentiellement deux critères : le croisement de données et, selon les cas, la surveillance systématique.

Le guide pratique en 7 étapes disponible chez certains cabinets spécialisés détaille chaque critère avec des cas d’usage sectoriels, utile pour affiner votre propre grille de lecture.

Action à retenir : appliquez cette grille de neuf critères à chaque traitement existant, cochez ceux qui s’appliquent et déclenchez l’AIPD dès que deux cases sont remplies.

Quelles sont les 5 étapes pour mener une AIPD conforme à la méthode CNIL ?

Une fois l’obligation confirmée, reste à structurer le travail. La CNIL recommande une méthode en cinq étapes, pensée pour être reproductible d’un traitement à l’autre. Chaque étape produit un livrable documenté, ce qui facilite la traçabilité en cas de contrôle.

Décrire le traitement dans le détail

La première étape consiste à cartographier précisément le traitement : sa finalité, les catégories de données collectées, les personnes concernées, les destinataires internes et externes. Un directeur administratif d’une PME industrielle qui met en place un logiciel de gestion de flotte doit ainsi préciser si les données de géolocalisation sont partagées avec un assureur ou un prestataire de maintenance.

Évaluer la nécessité et la proportionnalité

Cette étape interroge la pertinence même du traitement. Collecter la position GPS d’un véhicule toutes les cinq secondes est-il nécessaire pour optimiser une tournée de livraison, ou une fréquence de trente minutes suffirait-elle ? Cette question, souvent négligée, permet de réduire mécaniquement les risques en limitant le volume de données traitées.

Analyser les risques pour les personnes concernées

Il s’agit ici d’imaginer les scénarios de compromission : perte d’un ordinateur portable non chiffré, cyberattaque sur un serveur RH, accès non autorisé à un fichier partagé. Pour chaque scénario, on évalue la gravité et la vraisemblance, selon une échelle qui va généralement de négligeable à maximale.

Définir des mesures d’atténuation concrètes

Chiffrement des disques durs, cloisonnement des accès selon le principe du besoin d’en connaître, pseudonymisation des identifiants dans les bases statistiques : ces mesures techniques et organisationnelles réduisent la probabilité ou la gravité des incidents identifiés à l’étape précédente.

Documenter l’ensemble du processus

La dernière étape formalise tout le travail réalisé, dans un document daté, signé et archivé. Cette documentation constitue la preuve de conformité exigée en cas de contrôle CNIL. Le modèle AIPD prêt à l’emploi proposé par certains éditeurs juridiques permet de structurer ce livrable sans repartir d’une page blanche.

Action à retenir : rédigez un document unique reprenant les cinq étapes, mis à jour à chaque modification substantielle du traitement concerné.

Quels risques encourez-vous si vous ne réalisez pas d’AIPD obligatoire ?

L’absence d’AIPD sur un traitement qui l’exige n’est pas une simple négligence administrative. Elle constitue un manquement direct à l’article 35 du RGPD, sanctionnable de manière autonome, indépendamment d’un incident de sécurité effectif. La CNIL peut prononcer des amendes allant jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires mondial annuel pour ce type de manquement, selon le barème prévu par le règlement.

Au-delà de la sanction financière, l’absence d’analyse préalable expose l’entreprise à un risque réputationnel important. Une fuite de données sur un traitement non couvert par une AIPD laisse penser, à raison, que l’organisation n’avait pas anticipé les conséquences de son propre projet numérique. Ce constat pèse lourd lors d’un contentieux commercial ou d’une négociation avec un partenaire industriel.

Le cas des contrôles CNIL en secteur industriel

Les contrôles menés dans le secteur manufacturier ces dernières années ont régulièrement mis en évidence des manques sur la partie AIPD, notamment concernant les dispositifs de vidéosurveillance et les systèmes de badges d’accès. Ces contrôles se soldent souvent par une mise en demeure avec délai de mise en conformité, avant sanction pécuniaire en cas de récidive.

Pour éviter cette spirale, mieux vaut consulter en amont des ressources fiables comme les recommandations officielles sur l’analyse d’impact, qui détaillent précisément les attentes des contrôleurs.

Action à retenir : intégrez systématiquement une vérification AIPD dans votre check-list de lancement de projet numérique, au même titre qu’une validation budgétaire.

Faut-il transmettre l’AIPD à la CNIL avant de lancer un traitement ?

Contrairement à une idée répandue, l’AIPD n’est pas systématiquement soumise à la CNIL pour validation préalable. Dans la majorité des cas, le document reste interne, conservé par le responsable de traitement et présenté uniquement en cas de contrôle. La transmission devient obligatoire uniquement lorsque l’analyse révèle un risque résiduel élevé, malgré les mesures d’atténuation mises en place.

Dans cette situation précise, une consultation préalable de la CNIL s’impose, via le Service en ligne dédié. L’autorité dispose alors d’un délai de huit semaines, extensible à six semaines supplémentaires pour les dossiers complexes, pour rendre un avis écrit sur le traitement envisagé.

Un cas fréquent en PME : le déploiement d’une IA de tri de CV

Imaginez un service RH qui souhaite déployer un outil d’intelligence artificielle pour présélectionner les candidatures. Ce traitement cumule facilement plusieurs critères de risque : décision automatisée, technologie innovante, effet potentiel d’exclusion. Si les mesures correctives ne suffisent pas à ramener le risque à un niveau acceptable, la consultation de la CNIL devient un passage obligé avant tout déploiement à grande échelle.

Ce mécanisme protège autant l’entreprise que les candidats concernés : un avis défavorable en amont coûte bien moins cher qu’une sanction après mise en production. Le retour d’expérience de cabinets spécialisés sur ce type de projet confirme l’intérêt d’anticiper cette étape dès la phase de cahier des charges.

Action à retenir : identifiez dès la conception du projet si un risque résiduel élevé subsiste, pour prévoir le délai de consultation CNIL dans votre planning global.

Un sous-traitant a-t-il l’obligation de réaliser une AIPD ?

Cette question revient fréquemment chez les dirigeants qui découvrent leur statut de sous-traitant au sens du RGPD. La réponse est nuancée : l’obligation de réaliser l’AIPD pèse juridiquement sur le responsable de traitement, pas sur le sous-traitant. Cela ne signifie pas pour autant que ce dernier n’a aucun rôle à jouer.

Un sous-traitant qui héberge des données de santé pour le compte d’un client, par exemple, doit fournir toutes les informations techniques nécessaires à la réalisation de l’AIPD : architecture du système, mesures de sécurité déployées, sous-traitants ultérieurs éventuels. Sans cette collaboration active, le responsable de traitement ne peut tout simplement pas boucler son analyse.

Ce que le contrat de sous-traitance doit prévoir

Le contrat liant le sous-traitant au responsable de traitement doit intégrer une clause d’assistance à la réalisation de l’AIPD. Cette clause précise les délais de réponse, le format des informations à fournir et les modalités de mise à jour en cas d’évolution technique du service proposé.

Un prestataire informatique qui gère l’infogérance d’un ERP industriel devient ainsi un interlocuteur clé lors de l’analyse des risques, notamment sur les aspects de sécurité des accès et de sauvegarde des données. Négliger cette collaboration expose les deux parties à un risque de non-conformité partagé.

Action à retenir : vérifiez que vos contrats de sous-traitance intègrent une clause explicite d’assistance à la réalisation d’AIPD, et formalisez un circuit de communication rapide avec vos prestataires techniques.

Faut-il faire appel à un DPO externe pour réaliser l’AIPD ?

La réalisation d’une AIPD demande une double compétence : une compréhension fine des exigences légales et une capacité à dialoguer avec les équipes techniques et opérationnelles. Peu de PME disposent en interne de cette double expertise, ce qui explique le recours croissant à des DPO externes ou à des cabinets spécialisés en Expert RGPD.

Un DPO externe apporte trois bénéfices concrets. D’abord, une lecture experte des critères CNIL, évitant les erreurs d’interprétation qui conduisent soit à sous-évaluer un risque, soit à alourdir inutilement la démarche sur des traitements peu sensibles. Ensuite, une méthodologie rodée sur plusieurs dossiers similaires, qui accélère considérablement la production du livrable final.

Le gain de temps mesurable pour une direction administrative

Une AIPD menée en interne, sans expérience préalable, mobilise souvent plusieurs semaines de travail réparties entre plusieurs services. Avec l’appui d’un professionnel rodé à l’exercice, ce délai se réduit fréquemment de moitié, grâce à des trames prêtes à l’emploi et à une connaissance directe des attentes des contrôleurs CNIL.

Le guide pratique proposé par des cabinets de conformité détaille d’ailleurs les questions types posées lors des ateliers de cadrage, un bon moyen de préparer les équipes internes avant l’intervention d’un consultant. Pour aller plus loin sur le choix entre ressource interne et externe, consultez également les critères de sélection présentés dans ce comparatif entre DPO interne et externe.

Action à retenir : évaluez le coût d’un accompagnement externe au regard du temps interne mobilisé et du risque de sanction, avant de trancher entre ressource interne et prestataire spécialisé.

Une AIPD est-elle obligatoire pour toutes les entreprises ?

Non, l’AIPD n’est obligatoire que lorsque le traitement de données personnelles remplit au moins deux des neuf critères définis par le CEPD, ou figure sur la liste des traitements systématiquement concernés publiée par la CNIL. La taille de l’entreprise n’entre pas en compte dans cette évaluation.

Combien de temps prend la réalisation d’une AIPD ?

Le délai varie selon la complexité du traitement, mais compte généralement entre deux et six semaines en interne, contre une à trois semaines avec l’appui d’un professionnel expérimenté disposant de modèles adaptés.

Que se passe-t-il si l’AIPD révèle un risque résiduel élevé ?

Le responsable de traitement doit alors consulter la CNIL avant tout déploiement, via le service en ligne dédié. L’autorité dispose d’un délai de huit semaines, extensible de six semaines pour les dossiers complexes, pour rendre son avis.

Un sous-traitant peut-il refuser de fournir des informations pour l’AIPD ?

Non, la fourniture d’informations techniques nécessaires à l’AIPD constitue une obligation contractuelle qui doit figurer dans le contrat de sous-traitance, conformément à l’article 28 du RGPD.

L’AIPD doit-elle être mise à jour régulièrement ?

Oui, chaque modification substantielle du traitement, qu’il s’agisse d’un changement de finalité, de destinataire ou de technologie utilisée, impose une révision de l’analyse pour rester conforme aux exigences du RGPD.