Guide AIPD (DPIA) : comment réaliser une analyse d'impact ?

Qu'est-ce qu'une AIPD ?

L'AIPD est une démarche structurée d'analyse des risques qu'un traitement fait peser sur les droits et libertés des personnes concernées. Elle est prévue par l'article 35 du RGPD et constitue un pilier de l'approche par les risques du règlement.

Son objet n'est pas seulement de cocher une case, mais d'aider à concevoir un traitement respectueux de la vie privée : en identifiant les risques en amont, on peut les réduire par des mesures adaptées, voire renoncer à un traitement disproportionné.

Elle combine une dimension juridique (nécessité, proportionnalité, base légale, droits) et une dimension technique (sécurité, mesures d'atténuation). C'est pourquoi elle se mène idéalement en équipe, sous le pilotage du DPO.

Quand l'AIPD est-elle obligatoire ?

L'AIPD s'impose dès qu'un traitement est susceptible d'engendrer un risque élevé. Pour aider à trancher, la CNIL fournit des listes et neuf critères ; le franchissement d'au moins deux critères est un signal fort.

Les neuf critères incluent notamment : évaluation/scoring, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, usage innovant, obstacle à un droit.

Que contient une AIPD ?

Le RGPD fixe un contenu minimal. Une AIPD complète comporte quatre volets structurants.

• Une description systématique du traitement (finalités, données, flux, durées, acteurs).
• Une évaluation de la nécessité et de la proportionnalité au regard des finalités.
• Une appréciation des risques pour les droits et libertés des personnes (accès illégitime, modification, disparition).
• Les mesures envisagées pour traiter les risques et démontrer la conformité (sécurité, garanties, droits).

AIPD, FRIA et évaluation d'impact IA

L'AIPD a essaimé : elle inspire directement les évaluations d'impact d'autres cadres, avec lesquels elle peut être articulée.

• FRIA (AI Act) : évaluation d'impact sur les droits fondamentaux pour certains systèmes d'IA à haut risque.
• Évaluation d'impact des systèmes d'IA (ISO 42001) : logique voisine, orientée management.
• Mutualisation : un traitement d'IA à haut risque peut nécessiter à la fois AIPD et FRIA, à mener conjointement.
• Cohérence : mieux vaut une analyse d'impact intégrée qu'une série d'exercices redondants.

Quelles sanctions en cas de non-conformité ?

L'absence d'AIPD lorsqu'elle est requise, une AIPD superficielle, ou le défaut de consultation préalable en cas de risque résiduel élevé constituent des manquements sanctionnables au titre du RGPD.

Comment se mettre en conformité : la feuille de route en 6 étapes

Étape 1 — Déterminer si une AIPD est nécessaire

Confrontez le traitement aux listes de la CNIL et aux neuf critères. Si au moins deux critères sont remplis, ou si le traitement figure sur la liste des traitements soumis, l'AIPD est requise.

En cas de doute, réalisez l'AIPD : c'est la position la plus prudente et la mieux documentée.

• Vérifiez les listes CNIL (soumis / dispensés).
• Évaluez les neuf critères de risque.
• En cas de doute, réalisez l'AIPD.

Étape 2 — Décrire le traitement

Documentez finalités, catégories de données et de personnes, flux, destinataires, durées, sous-traitants et transferts. Cette description s'appuie directement sur votre registre des traitements.

Une description précise conditionne la qualité de toute l'analyse.

• Décrivez finalités, données et flux.
• Identifiez acteurs, durées et transferts.
• Appuyez-vous sur la fiche de registre correspondante.

Étape 3 — Évaluer nécessité et proportionnalité

Vérifiez que le traitement est nécessaire à sa finalité et proportionné : base légale, minimisation, durées, information, exercice des droits. Écartez la collecte superflue.

C'est le volet juridique de l'AIPD : il conditionne la légitimité même du traitement.

• Justifiez la base légale et la finalité.
• Vérifiez minimisation et durées de conservation.
• Assurez information et exercice des droits.

Étape 4 — Apprécier les risques

Identifiez les risques pour les personnes (accès illégitime, modification indésirable, disparition de données), leurs sources, leur gravité et leur vraisemblance.

Raisonnez du point de vue des personnes concernées, pas seulement de l'organisation.

• Identifiez les événements redoutés et leurs impacts.
• Évaluez gravité et vraisemblance de chaque risque.
• Priorisez les risques les plus élevés.

Étape 5 — Définir les mesures d'atténuation

Déterminez les mesures réduisant chaque risque : sécurité (chiffrement, accès, journalisation), garanties juridiques, minimisation, transparence. Réévaluez le risque résiduel après mesures.

L'objectif est de ramener le risque à un niveau acceptable.

• Associez des mesures à chaque risque identifié.
• Réévaluez le risque résiduel après mesures.
• Documentez les décisions et arbitrages.

Étape 6 — Valider, consulter et réviser

Faites valider l'AIPD (avec l'avis du DPO), recueillez le cas échéant l'avis des personnes concernées, et consultez la CNIL si le risque résiduel reste élevé malgré les mesures. Révisez l'AIPD à chaque évolution.

L'AIPD est un document vivant, pas un livrable figé.

• Recueillez l'avis du DPO et validez formellement.
• Consultez la CNIL si le risque résiduel reste élevé.
• Révisez l'AIPD en cas de changement significatif.

Les erreurs fréquentes à éviter

• Oublier de réaliser l'AIPD alors qu'elle est obligatoire, l'un des manquements les plus sanctionnés.
• Réaliser une AIPD superficielle qui ne réduit réellement aucun risque.
• Mener l'AIPD après le lancement du traitement, alors qu'elle doit être préalable.
• Raisonner du seul point de vue de l'organisation, en oubliant les personnes concernées.
• Négliger la consultation préalable de la CNIL en cas de risque résiduel élevé.
• Ne jamais réviser l'AIPD malgré l'évolution du traitement.

Comment Data Comply One vous accompagne

Data Comply One guide la réalisation de vos AIPD grâce à une méthode pas à pas et des modèles pré-remplis, reliés à votre registre des traitements : description, nécessité, risques, mesures et risque résiduel sont structurés dans la plateforme.

Deux modes s'offrent à vous : réaliser vos AIPD vous-même avec le logiciel, ou les externaliser à nos experts — un DPO externalisé — qui les réalisent pour vous directement sur la plateforme et sécurisent la consultation préalable de la CNIL si nécessaire.

Comme la méthode s'étend naturellement à la FRIA de l'AI Act et à l'évaluation d'impact ISO 42001, vous évitez de refaire trois fois le même exercice pour vos traitements impliquant de l'IA.

Où en êtes-vous ? ·