Analyse d’impact relative à la protection des données : méthode pratique

L’erreur la plus fréquente n’est pas d’oublier l’analyse d’impact. C’est de la rédiger trop tard : la veille de la mise en production, pour compléter un dossier, quand plus aucune de ses conclusions ne peut changer le projet. L’AIPD devient alors un exercice de style, que personne ne relit. Conduite au bon moment, elle est au contraire l’un des documents les plus utiles d’un projet : elle oblige à dire quelles données on collecte, pourquoi, qui y accède, et ce qui arriverait aux personnes si les choses tournaient mal.

Ce guide propose une méthode pratique, applicable par une équipe projet avec l’appui de son délégué à la protection des données, pour un traitement réel : un portail de démarches, un outil de gestion des ressources humaines, une application de santé, un système d’aide à la décision.

Faut-il une AIPD ? Le test en deux minutes

L’article 35 du RGPD impose une analyse d’impact lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Le texte cite trois cas obligatoires : l’évaluation systématique et approfondie d’aspects personnels, y compris le profilage, fondant des décisions qui produisent des effets juridiques ; le traitement à grande échelle de données sensibles ou relatives aux condamnations ; la surveillance systématique à grande échelle d’une zone accessible au public.

Au-delà de ces cas, les lignes directrices européennes, reprises par le comité européen de la protection des données, proposent neuf critères : évaluation ou notation des personnes ; décision automatisée avec effet juridique ou similaire ; surveillance systématique ; données sensibles ou à caractère hautement personnel ; traitement à grande échelle ; croisement ou combinaison d’ensembles de données ; personnes vulnérables (patients, enfants, salariés, demandeurs d’asile) ; usage innovant ou nouvelle technologie ; traitement qui empêche d’exercer un droit ou de bénéficier d’un service.

La règle pratique est simple : deux critères remplis, une AIPD en principe nécessaire. La CNIL publie en outre une liste des types d’opérations pour lesquels elle est requise, et une liste de ceux pour lesquels elle ne l’est pas. Dans le doute, la conduire coûte moins cher que de devoir justifier son absence.

La méthode en six étapes

1. Décrire le traitement. Finalités, données collectées, personnes concernées, destinataires, durées de conservation, supports (applications, serveurs, prestataires, réseaux). Un schéma des flux vaut mieux qu’une longue description : il révèle les transferts oubliés, notamment vers des outils de mesure ou de support hébergés hors de l’Union.
2. Vérifier la nécessité et la proportionnalité. Chaque donnée est-elle indispensable à la finalité ? La base légale est-elle la bonne ? Les durées de conservation sont-elles justifiées ? Comment les personnes sont-elles informées et comment exercent-elles leurs droits ? Cette étape fait souvent tomber des champs de formulaire hérités « au cas où ».
3. Identifier les risques pour les personnes. La méthode de la CNIL retient trois événements redoutés : l’accès illégitime aux données, leur modification non désirée, leur disparition. Pour chacun, décrire les impacts concrets sur les personnes et les menaces qui pourraient le provoquer.
4. Évaluer gravité et vraisemblance. Pour chaque risque, estimer la gravité des impacts et la vraisemblance des menaces, compte tenu des mesures existantes, puis des mesures prévues.
5. Décider des mesures. Mesures juridiques (information, consentement, contrats avec les sous-traitants), organisationnelles (habilitations, procédures, formation) et techniques (chiffrement, journalisation, pseudonymisation, cloisonnement). Chaque mesure a un responsable et une échéance.
6. Valider et planifier la revue. Recueillir l’avis du délégué à la protection des données, le cas échéant celui des personnes concernées ou de leurs représentants, faire valider le risque résiduel par le responsable de traitement, et fixer la date de la prochaine revue.

Évaluer les risques sans se perdre

L’étape d’évaluation est celle où les équipes s’enlisent, souvent parce qu’elles évaluent le risque pour l’organisation (sanction, réputation) au lieu du risque pour les personnes. Une fuite de données de santé est grave parce qu’elle expose des patients à la discrimination ou au chantage, pas parce qu’elle fera la une d’un journal.

Trois conseils rendent l’exercice plus juste. Raisonner sur des scénarios concrets : « un agent consulte le dossier d’un voisin », « un prestataire perd une sauvegarde non chiffrée », « une erreur de mise à jour efface les rendez-vous de la semaine ». Justifier chaque niveau en une phrase, pour que la revue suivante puisse le discuter. Placer chaque risque deux fois, avant et après les mesures, pour montrer ce que les mesures apportent réellement.

Si un risque reste élevé malgré les mesures, le RGPD impose de consulter l’autorité de protection des données avant la mise en œuvre (article 36). Ce cas est rare ; il signale le plus souvent qu’une option de conception doit être revue.

Qui fait quoi

L’analyse d’impact est un travail collectif, mais pas un travail sans pilote. Le responsable de traitement, en pratique le directeur métier qui porte le projet, en est responsable et valide le risque résiduel. Le chef de projet la conduit et la tient à jour. Le responsable de la sécurité apporte l’analyse des menaces et des mesures techniques. Les sous-traitants fournissent les informations sur leurs propres mesures, ce que le RGPD les oblige à faire. Le délégué à la protection des données conseille et rend un avis, qui doit figurer dans le document, y compris s’il est réservé.

L’article 35 prévoit aussi, le cas échéant, de recueillir l’avis des personnes concernées ou de leurs représentants. Pour un traitement qui touche des agents, des patients ou des usagers d’un service public, quelques entretiens ou une consultation des représentants du personnel révèlent des risques que l’équipe projet ne voyait pas.

Et quand le traitement repose sur l’IA ?

Un système d’intelligence artificielle remplit souvent plusieurs critères à la fois : technologie innovante, évaluation des personnes, parfois décision automatisée. L’AIPD est alors presque toujours requise. Elle doit traiter des risques propres à ces systèmes : données d’entraînement, biais, explicabilité des résultats, possibilité de contester une décision.

Le règlement européen sur l’intelligence artificielle ajoute, pour certains déployeurs de systèmes à haut risque (organismes publics, entités privées fournissant des services publics, et certains usages comme l’évaluation de la solvabilité), une analyse d’impact sur les droits fondamentaux. Elle s’appliquera avec la majorité des obligations, à partir du 2 août 2026. Le texte prévoit expressément qu’elle complète l’AIPD lorsque celle-ci a déjà été réalisée : mieux vaut donc concevoir dès maintenant une trame commune.

Votre AIPD est prête quand…

• Un lecteur extérieur au projet comprend, en dix minutes, quelles données sont traitées, pourquoi et par qui.
• Chaque donnée collectée a été justifiée, et au moins une a été supprimée ou limitée grâce à l’analyse.
• Les risques sont décrits du point de vue des personnes, sur des scénarios concrets.
• Chaque mesure a un responsable, une échéance et un moyen de vérifier qu’elle est appliquée.
• L’avis du délégué à la protection des données figure dans le document.
• La date de la prochaine revue est fixée.

L’outil PIA, logiciel libre mis à disposition par la CNIL, et ses guides méthodologiques fournissent une trame directement utilisable. L’essentiel reste de commencer tôt. Notre expertise cybersécurité et conformité accompagne les équipes projet dans cet exercice, et notre produit Gouvernance aide à conserver la trace des décisions prises et des mesures appliquées, pour pouvoir le démontrer au moment d’un contrôle.

Pour approfondir : Gouvernance & traçabilité

Questions fréquentes

Qui doit rédiger l'analyse d'impact ?

Le responsable de traitement en porte la responsabilité, c'est-à-dire l'organisation qui décide du traitement. En pratique, l'analyse est conduite par le chef de projet ou le métier, avec l'appui du responsable de la sécurité et des sous-traitants techniques. Le délégué à la protection des données donne son avis ; il ne doit pas en être le seul auteur, sous peine de perdre son recul.

Une AIPD doit-elle être publiée ?

Le RGPD ne l'impose pas. La publier, au moins sous forme de synthèse, est toutefois une bonne pratique, en particulier pour les administrations et les traitements qui touchent un large public : elle renforce la confiance et montre que les risques ont été pris au sérieux.

Que se passe-t-il si le risque reste élevé après les mesures ?

Le responsable de traitement doit consulter l'autorité de protection des données avant de mettre en œuvre le traitement, au titre de l'article 36 du RGPD. L'autorité dispose de huit semaines, prolongeables de six, pour rendre son avis. Dans les faits, ce cas reste rare : il signale le plus souvent qu'il faut revoir la conception.

Faut-il refaire l'AIPD à chaque évolution du traitement ?

Il faut la réexaminer lorsque le risque change : nouvelle finalité, nouvelles données, nouveau sous-traitant, nouvelle technologie, extension à un autre public. Une revue périodique, par exemple annuelle, permet de vérifier que les mesures prévues ont bien été appliquées.