L’article en bref : L’AIPD (analyse d’impact relative à la protection des données) est une démarche imposée par l’article 35 du RGPD. Elle est obligatoire dès qu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées. La CNIL a fixé neuf critères : si votre traitement en remplit au moins deux, l’AIPD est requise. En cas de manquement, l’amende peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Dipeeo prend en charge votre AIPD grâce à un DPO externalisé certifié et une plateforme intuitive.
L’AIPD désigne l’analyse d’impact relative à la protection des données. C’est une étude menée avant de lancer un traitement de données personnelles, pour en mesurer les conséquences sur la vie privée. La CNIL la définit comme un outil qui aide à construire un traitement conforme au RGPD et respectueux des personnes concernées. C’est donc un moyen de démontrer que vous maîtrisez les risques.
Toutes les entreprises ne sont pas tenues de réaliser une AIPD. L’obligation se déclenche quand le traitement est susceptible d’engendrer un risque élevé. La CNIL a balisé le terrain avec une liste officielle et une grille de neuf critères.
Le « risque élevé » se mesure à la nature et à la portée du traitement. l‘article 35 nomme trois cas où la loi présume d’avance que le risque est élevé :
Cette liste n’est pas limitative, ce qui laisse une marge d’interprétation délicate.
La CNIL a publié une liste positive de quatorze types d’opérations pour lesquelles l’analyse est obligatoire. Par exemple.
Si votre projet y figure, le débat est clos. Cette liste résulte de la délibération n° 2018-327 du 11 octobre 2018. En miroir, une liste négative a été adoptée par la délibération n° 2019-118 du 12 septembre 2019, après consultation du Comité européen de la protection des données.
L’AIPD n’est pas non plus exigée quand le traitement répond à une obligation légale déjà encadrée par un texte ayant fait l’objet d’une analyse.
Entre obligation et dispense existe une zone grise. Lorsque le traitement ne figure sur aucune liste, la CNIL renvoie aux neuf critères des lignes directrices du G29, repris par le CEPD. Dès qu’il en remplit au moins deux, l’analyse devient obligatoire. Voici les différentes situations :
Même avec un seul critère rempli, la CNIL recommande de réaliser une AIPD par prudence. La démarche facilite votre mise en conformité, quel que soit le risque réel. En cas de doute, l’analyse vous protège.
L’article 35, paragraphe 7, du RGPD fixe le contenu minimal d’une AIPD conforme. Quatre éléments la structurent. Les ignorer revient à produire une analyse inopposable lors d’un contrôle.
| Élément obligatoire | Nature | Question clé |
| Description du traitement | Technique et opérationnelle | Que faites-vous, avec quelles données et dans quel but ? |
| Nécessité et proportionnalité | Juridique | Ce traitement est-il justifié et mesuré ? |
| Analyse des risques | Technique (sécurité) | Que risquent les personnes, et à quel point ? |
| Mesures de réduction | Technique et organisationnelle | Comment ramener le risque à un niveau acceptable ? |
Cette partie doit décrire le traitement de données, ses acteurs, ses flux, les catégories de données, les destinataires, les durées de conservation et les éventuels transferts. Plus la description est précise, plus l’analyse gagne en solidité.
Vient une évaluation plus juridique. Le traitement est-il nécessaire à sa finalité ? Les données sont-elles proportionnées ? Cette partie vérifie les principes fondamentaux non négociables : licéité, minimisation, durée limitée, information et droits des personnes concernées.
Le troisième volet, technique, étudie les risques sur la sécurité des données : confidentialité, intégrité et disponibilité. Pour chaque événement redouté, vous identifiez les menaces, puis cotez le risque selon sa gravité et sa vraisemblance.
Enfin, l’AIPD décrit les mesures envisagées : chiffrement, contrôle d’accès, pseudonymisation, sensibilisation, encadrement des sous-traitants. L’objectif est de ramener chaque risque à un niveau acceptable et de le démontrer.
Cinq étapes structurent une analyse rigoureuse.
Vous délimitez le périmètre du traitement : finalités, supports, flux de données. Vous identifiez les acteurs, responsables de traitement, sous-traitants et destinataires. Un contexte mal posé fausse l’analyse entière.
Vous confrontez le traitement aux principes fondamentaux. La base légale est-elle solide ? Les données sont-elles limitées au strict nécessaire ? Les personnes concernées sont-elles informées et leurs droits respectés ?
C’est le cœur technique. Vous appréciez les risques sur la vie privée liés à la sécurité des données et vérifiez qu’ils sont convenablement traités. Chaque risque est coté en gravité et en vraisemblance, du point de vue des personnes. Cette cotation hiérarchise vos priorités.
Pour chaque risque, vous déterminez les mesures techniques et organisationnelles adaptées. Si le risque résiduel reste élevé malgré elles, vous devez consulter la CNIL avant tout déploiement.
Enfin, vous formalisez la validation de l’analyse. L’AIPD n’est pas figée : elle se mène avant la mise en œuvre du traitement, puis se révise régulièrement tout au long de son cycle de vie. Toute évolution significative justifie une mise à jour.
Bon à savoir : l’AIPD doit être réalisée avant le lancement du traitement. Menée après l’incident, elle ne joue plus son rôle préventif et n’efface pas le manquement aux yeux de la CNIL.
Lire les textes ne suffit pas : encore faut-il les articuler. Entre le RGPD, les lignes directrices du CEPD et les listes de la CNIL, les sources s’empilent. Voici qui dit quoi et où se situent les pièges.
L’article 35 du règlement général sur la protection des données est le texte fondateur de l’AIPD. Il pose l’obligation, fixe le contenu minimal et organise la consultation préalable de l’autorité en cas de risque résiduel élevé.
Les lignes directrices du CEPD, héritées du G29, précisent la notion de risque élevé et fournissent les neuf critères.
La liste positive de la CNIL déclenche une présomption de risque élevé, mais se lit avec discernement. Un traitement absent de la liste peut rester soumis à AIPD au titre des neuf critères. Inversement, figurer sur la liste négative ne dispense pas de respecter les autres principes du RGPD. La liste oriente, elle ne remplace pas l’analyse au cas par cas.
Conseil Dipeeo : ne confondez pas l’AIPD avec d’autres analyses voisines. Avec l’AI Act, un système d’intelligence artificielle à haut risque peut exiger à la fois une AIPD et une analyse d’impact sur les droits fondamentaux.
Le responsable de traitement reste juridiquement tenu d’assurer la conformité de son traitement, mais il n’agit pas seul. Lorsqu’un délégué à la protection des données (DPO) est désigné, le RGPD prévoit que le responsable lui demande conseil et le charge de vérifier l’exécution de l’AIPD. Le DPO est le pilote méthodologique de l’analyse, sans en endosser la responsabilité finale.
L’AIPD est l’analyse d’impact relative à la protection des données imposée par l’article 35 du RGPD. Elle devient obligatoire dès qu’un traitement est susceptible d’engendrer un risque élevé :
Une analyse conforme contient quatre éléments : description du traitement, nécessité et proportionnalité, analyse des risques, mesures de réduction. La méthode CNIL se déroule en cinq étapes, à mener avant le déploiement et à réviser régulièrement.
Vous souhaitez réaliser votre AIPD en toute sérénité ? et sécurisez votre conformité de A à Z ?
Échangez avec un expert DPO externalisé → en remplissant le formulaire sur notre site
Non. Elle ne concerne que les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées. Un traitement est concerné s’il figure sur la liste officielle de la CNIL ou s’il remplit au moins deux des neuf critères du CEPD.
Il n’existe pas de durée légale. Le délai dépend de la complexité du traitement, du volume de données et de la disponibilité des acteurs internes. Une AIPD simple se boucle en quelques jours, un traitement complexe demande plusieurs semaines.
Pas systématiquement. Il n’existe aucune obligation générale de publication ni de transmission. Vous devez toutefois consulter la CNIL lorsque le risque résiduel reste élevé malgré les mesures prises.
Juridiquement oui : le responsable de traitement reste libre de sa méthode et peut conduire l’analyse en interne. En pratique, l’exercice est exigeant et une AIPD mal réalisée procure une fausse sécurité et se retourne contre l’entreprise lors d’un contrôle. Il est préférable de se faire accompagner par un professionnel.
Le manquement relève de l’article 83, paragraphe 4, du RGPD. L’amende peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Au-delà du montant, l’absence d’AIPD constitue une circonstance aggravante qui alourdit la sanction d’autres manquements, comme l’ont montré plusieurs délibérations récentes de la CNIL.
