Évaluation ou notation
Y compris le profilage et la prédiction de comportement.
En bref
Une AIPD est obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes (article 35 du RGPD). Trois cas sont cités explicitement par le règlement, la CNIL publie une liste de traitements concernés, et le Comité européen de la protection des données propose neuf critères : en remplir au moins deux rend l'analyse nécessaire en principe. AIPD, PIA et DPIA désignent la même chose.
1. Qu'est-ce qu'une AIPD ?
L'analyse d'impact relative à la protection des données est l'étude prévue à l'article 35 du RGPD. Elle se mène avant la mise en œuvre du traitement, jamais après : son objet est de concevoir un traitement acceptable, pas de justifier a posteriori un traitement déjà déployé.
C'est aussi, en pratique, la pièce la plus démonstrative d'une démarche d'accountability. Une AIPD sérieuse prouve que le responsable de traitement a identifié les risques, arbitré, et documenté ses arbitrages — y compris ceux qu'il a écartés.
2. AIPD, PIA, DPIA : quelle différence ?
Aucune, en pratique française. C'est une confusion fréquente, entretenue par des ressources qui présentent la PIA comme une « composante » de l'AIPD — ce qui n'a aucun fondement dans le règlement.
| Sigle | Développé | Statut |
|---|---|---|
| AIPD | Analyse d'impact relative à la protection des données | Terme officiel français du RGPD |
| DPIA | Data Protection Impact Assessment | Terme officiel anglais, même article 35 |
| PIA | Privacy Impact Assessment | Terme antérieur au RGPD, conservé par la CNIL pour nommer son logiciel |
Retenez qu'un interlocuteur qui vous parle de PIA, de DPIA ou d'AIPD vous parle du même exercice. La seule distinction utile est celle entre l'analyse elle-même et l'outil logiciel qui aide à la dérouler.
3. Quand est-elle obligatoire ?
Le critère général est unique : un risque élevé pour les droits et libertés des personnes. L'article 35.3 en donne trois illustrations explicites.
L'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ou affectant significativement les personnes.
Le traitement à grande échelle de catégories particulières de données visées à l'article 9, ou de données relatives à des condamnations pénales et infractions visées à l'article 10.
La surveillance systématique à grande échelle d'une zone accessible au public.
Cette liste n'est pas limitative. La CNIL publie en complément une liste de types de traitements pour lesquels une AIPD est requise, et une liste de ceux pour lesquels elle ne l'est pas — deux documents qu'il faut consulter avant de trancher, parce qu'ils règlent la plupart des cas concrets sans avoir à interpréter.
À l'inverse, une AIPD n'est pas requise pour un traitement courant, à faible risque, ou dont la finalité et les moyens sont banals : gestion de la paie, tenue d'un fichier clients classique, envoi d'une newsletter sur consentement.
4. Les 9 critères du CEPD
Ce sont ces critères, issus des lignes directrices reprises par le Comité européen de la protection des données, qui tranchent en pratique. La règle usuelle : deux critères remplis ou plus et l'AIPD est en principe nécessaire.
Décision automatisée
Produisant un effet juridique ou affectant la personne de manière significative.
Surveillance systématique
Observation, contrôle ou suivi des personnes, notamment dans l'espace public.
Données sensibles
Données de l'article 9, données pénales, ou données à caractère hautement personnel.
Grande échelle
Appréciée selon le volume, le nombre de personnes, la durée et la portée géographique.
Croisement de données
Combinaison d'ensembles de données issus de traitements aux finalités différentes.
Personnes vulnérables
Mineurs, salariés, patients, personnes âgées, demandeurs d'asile.
Usage innovant
Nouvelle technologie ou nouvelle organisation dont les effets sont encore mal connus.
Blocage d'un droit ou d'un service
Le traitement empêche d'exercer un droit ou de bénéficier d'un contrat ou d'un service.
Un seul critère rempli n'écarte pas mécaniquement l'obligation : si le risque paraît élevé malgré tout, l'analyse s'impose. Le raisonnement inverse vaut aussi, et il faut pouvoir le justifier — la décision de ne pas mener d'AIPD se documente elle aussi.
5. Ce que l'AIPD doit contenir
L'article 35.7 fixe quatre éléments minimaux. Une analyse qui en omet un n'est pas une AIPD.
- Une description systématique des opérations de traitement envisagées, de leurs finalités et, le cas échéant, de l'intérêt légitime poursuivi.
- Une évaluation de la nécessité et de la proportionnalité des opérations au regard des finalités.
- Une évaluation des risques pour les droits et libertés des personnes concernées.
- Les mesures envisagées pour faire face aux risques : garanties, mesures de sécurité, mécanismes de protection des données.
Deux obligations de procédure s'y ajoutent. L'avis du délégué à la protection des données doit être demandé lorsqu'un DPO a été désigné (article 35.2). Et si le risque résiduel demeure élevé malgré les mesures envisagées, la CNIL doit être consultée préalablement au titre de l'article 36.
Enfin, l'AIPD n'est pas un document figé : elle doit être réexaminée lorsque le risque évolue. Un changement de sous-traitant, une nouvelle finalité ou un élargissement du public concerné suffisent à rouvrir l'analyse.
6. Le logiciel PIA de la CNIL
La CNIL met à disposition un logiciel gratuit et open source, nommé PIA, qui déroule sa méthodologie étape par étape et produit un rapport exportable. Il s'installe en local ou se déploie sur un serveur, ce qui évite d'externaliser des informations souvent sensibles sur l'architecture du traitement.
Aucun outil n'est imposé pour autant. Un document structuré couvrant les quatre éléments de l'article 35.7 est parfaitement recevable. L'intérêt du logiciel est ailleurs : il impose une trame homogène, ce qui rend les analyses comparables entre elles et facilite leur réexamen périodique.
7. Et le site web ?
Disons-le franchement : un site vitrine classique ne déclenche presque jamais d'AIPD. Les critères de l'article 35 visent le profilage, la décision automatisée, la surveillance systématique ou les données sensibles — rarement le fait de publier des pages et de collecter des demandes de contact.
La situation change si le site opère un scoring, une décision automatisée, ou traite des données de santé — une prise de rendez-vous médical en ligne, par exemple. Dans ces cas, l'AIPD porte sur le traitement dans son ensemble, dont le site n'est que l'interface.
Ce qui s'applique en revanche à tout site, sans exception : l'information des personnes au moment de la collecte, le consentement aux traceurs non essentiels, l'encadrement des transferts induits par les services tiers, et l'exercice des droits. C'est le périmètre qu'un audit automatisé permet de constater en quelques minutes.
8. Questions fréquentes
- C'est quoi l'AIPD ?
- L'AIPD — analyse d'impact relative à la protection des données — est l'étude prévue à l'article 35 du RGPD. Elle doit être menée avant la mise en œuvre d'un traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Elle décrit le traitement, évalue sa nécessité et sa proportionnalité, identifie les risques et documente les mesures prises pour les réduire.
- Quelle est la différence entre une PIA et une AIPD ?
- En pratique française, aucune : les deux désignent la même analyse de l'article 35 du RGPD. AIPD est l'acronyme officiel français, DPIA l'acronyme anglais, et PIA (Privacy Impact Assessment) un terme antérieur au RGPD que la CNIL a conservé pour nommer son logiciel gratuit. Vous rencontrerez les trois pour parler du même exercice — il n'y a pas de hiérarchie entre eux, et la PIA n'est pas une sous-partie de l'AIPD.
- Quand une AIPD est-elle obligatoire ?
- Dès que le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. L'article 35.3 cite trois cas explicites, la CNIL publie une liste de types de traitements pour lesquels une AIPD est requise, et le Comité européen de la protection des données propose neuf critères : lorsqu'un traitement en remplit au moins deux, l'AIPD est en principe nécessaire.
- Qui doit réaliser l'AIPD ?
- La responsabilité incombe au responsable de traitement. Lorsqu'un délégué à la protection des données a été désigné, son avis doit être demandé (article 35.2), et il est d'usage qu'il pilote méthodologiquement l'exercice. Les métiers, la DSI et les sous-traitants concernés doivent y contribuer.
- Faut-il transmettre l'AIPD à la CNIL ?
- Pas systématiquement. La transmission n'est requise que si l'analyse conclut à un risque résiduel élevé malgré les mesures envisagées : il faut alors consulter la CNIL préalablement, au titre de l'article 36. Dans les autres cas, l'AIPD est conservée et tenue à disposition en cas de contrôle.
- Une AIPD est-elle nécessaire pour un site web ?
- Rarement pour un site vitrine classique. Elle le devient si le site opère du profilage à grande échelle, de la décision automatisée, ou collecte des données sensibles — un site de prise de rendez-vous médical, par exemple. Pour un site standard, les obligations qui s'appliquent sont celles de l'information des personnes, du consentement aux traceurs et de l'exercice des droits.
- Le logiciel PIA de la CNIL est-il obligatoire ?
- Non. La CNIL met à disposition un logiciel gratuit et open source nommé PIA pour dérouler la méthode, mais aucun outil particulier n'est imposé. Un tableur structuré ou un document formalisé conviennent, dès lors que le contenu de l'article 35.7 est couvert.