AIPD : l’analyse d’impact dans le médico-social, en pratique

Qu’est-ce qu’une AIPD ?

L’AIPD (Analyse d’Impact relative à la Protection des Données, ou DPIA) est une étude qui identifie et réduit les risques d’un traitement pour les personnes concernées. Le RGPD la rend obligatoire pour les traitements susceptibles d’engendrer un risque élevé — notamment le traitement à grande échelle de données de santé, fréquent dans les ESSMS.

Quand l’AIPD est-elle obligatoire dans le médico-social ?

La CNIL publie une liste des traitements pour lesquels une AIPD est requise. Dans le médico-social, sont typiquement concernés :

• Le dossier de l’usager et le traitement de ses données de santé.
• La télégestion et la géolocalisation des intervenants à domicile.
• Les dispositifs de vidéoprotection dans certains espaces.
• Les traitements reposant sur des outils d’IA (planification, analyse).

En cas de doute, mieux vaut réaliser l’AIPD : c’est un gage de maîtrise du risque.

Les étapes d’une AIPD réussie

1. Décrire le traitement : finalités, données, flux, durées, acteurs.
2. Évaluer la nécessité et la proportionnalité au regard de la finalité.
3. Identifier les risques pour les personnes (accès illégitime, modification, disparition des données).
4. Définir les mesures pour réduire ces risques à un niveau acceptable.
5. Faire valider par le responsable de traitement, avec l’avis du DPO.

Ce que contient une AIPD

Une AIPD aboutie réunit plusieurs éléments documentés :

• Une description détaillée du traitement.
• Une cartographie des risques et de leur gravité.
• Le plan de mesures techniques et organisationnelles.
• L’avis du DPO et la décision du responsable.

C’est un livrable attendu en cas de contrôle CNIL — son absence sur un traitement à risque est un manquement.

Les erreurs fréquentes

• Réaliser l’AIPD trop tard, une fois le traitement déjà en production.
• La traiter comme une formalité sans plan de mesures concret.
• Ne jamais la réviser alors que le traitement évolue.
• Oublier les sous-traitants et leurs propres mesures de sécurité.

Réaliser et maintenir vos AIPD

Pour savoir si vous devez désigner un DPO en amont, lisez DPO obligatoire en EHPAD ?. Notre DPO externalisé réalise vos AIPD, les documente et les tient à jour au fil de l’évolution de vos traitements.

Questions fréquentes

Une AIPD est-elle à refaire chaque année ? Non, mais elle doit être révisée à chaque évolution significative du traitement.

Qui valide l’AIPD ? Le responsable de traitement, après avis du DPO.