Avant de lancer un nouveau traitement, une question revient : faut-il réaliser une analyse d'impact relative à la protection des données ? Le RGPD l'impose lorsque le traitement est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques », selon l'article 35 du RGPD.
L'AIPD n'est donc ni systématique ni facultative : elle dépend du traitement. Ce guide vous donne un test en trois temps pour trancher, la méthode en quatre étapes de la CNIL, puis ce qui suit l'analyse : consultation préalable, mise à jour et conservation de la preuve.
Il s'adresse au responsable de traitement, à qui l'analyse incombe, même lorsqu'il se fait aider.
Chapitre 01 — Le cadre légal
Ce que l'article 35 du RGPD exige
L'article 35 pose une obligation préalable : l'analyse se mène avant la mise en œuvre du traitement, pas après. Trois situations l'exigent dans tous les cas (article 35, paragraphe 3) :
- une évaluation systématique et approfondie d'aspects personnels, fondée sur un traitement automatisé, y compris le profilage, qui débouche sur des décisions produisant des effets juridiques ou affectant les personnes de manière significative ;
- le traitement à grande échelle de données sensibles ou de données relatives aux condamnations pénales et aux infractions ;
- la surveillance systématique à grande échelle d'une zone accessible au public.
Que doit contenir l'analyse au minimum ?
Le texte fixe quatre éléments obligatoires.
| Élément | Ce qu'il faut produire |
|---|---|
| Description | Les opérations de traitement envisagées et leurs finalités |
| Nécessité et proportionnalité | La justification des opérations au regard des finalités poursuivies |
| Risques | L'évaluation des risques pour les droits et libertés des personnes concernées |
| Mesures | Les garanties, mesures et mécanismes de sécurité prévus pour faire face à ces risques |
Une seule analyse peut porter sur un ensemble d'opérations similaires qui présentent des risques élevés similaires (article 35, paragraphe 1).
Qui participe à l'analyse ?
Si vous avez désigné un DPO, vous devez lui demander conseil (article 35, paragraphe 2). Le sous-traitant qui intervient sur le traitement vous fournit l'aide et les informations nécessaires, rappelle la fiche de la CNIL consacrée à l'analyse d'impact.
Négliger cette obligation expose à une amende administrative pouvant atteindre 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 4, du RGPD).
Chapitre 02 — Est-elle obligatoire ?
Savoir si votre traitement exige une analyse d'impact
Comment savoir si l'analyse est obligatoire ?
Appliquez trois tests dans l'ordre : liste des traitements soumis, liste des traitements exemptés, puis règle des deux critères sur neuf.
- 1Consulter la liste des traitements soumis — 14 types de traitements pour lesquels l'analyse est obligatoire (délibération CNIL n° 2018-327 du 11 octobre 2018).
- 2Consulter la liste des traitements exemptés — 12 types de traitements pour lesquels elle n'est pas requise, sous conditions (délibération CNIL n° 2019-118 du 12 septembre 2019).
- 3Appliquer la règle des deux critères — Hors listes, l'analyse est en principe requise dès que deux des neuf critères européens sont réunis.
Quels traitements figurent sur la liste de la CNIL ?
La liste des traitements soumis vise surtout la santé, les ressources humaines, le profilage et la localisation. Pour une entreprise, retenez notamment :
- le profilage des personnes à des fins de gestion des ressources humaines ;
- la surveillance constante de l'activité des employés ;
- la gestion des alertes et des signalements en matière professionnelle ;
- le profilage pouvant exclure une personne du bénéfice d'un contrat, ou utilisant des données issues de sources externes ;
- les données biométriques servant à identifier une personne de manière unique ;
- les données de localisation à large échelle.
Quels traitements en sont exemptés ?
La liste des traitements exemptés couvre des traitements courants à faible risque, notamment :
- la gestion du personnel dans un organisme de moins de 250 salariés, sans profilage ;
- la gestion des fournisseurs (contrats, commandes, factures, comptabilité) ;
- le contrôle d'accès par badge sans biométrie, limité à la sécurité ou au temps de travail ;
- la gestion des membres et donateurs d'une association, hors données sensibles.
Aucune de ces listes n'est exhaustive.
Quels sont les neuf critères ?
Ils viennent des lignes directrices WP248 rev.01 du G29, reprises par le Comité européen de la protection des données le 25 mai 2018. Cochez ceux que votre traitement remplit :
Les neuf critères de risque élevé
Deux critères cochés : l'analyse est en principe requise. Un seul : elle ne l'est généralement pas, sauf risque élevé. Consignez votre raisonnement.
Exemple : un logiciel qui note et écarte automatiquement des candidatures réunit l'évaluation des personnes, la décision automatique et l'exclusion. L'AIPD s'impose.
Chapitre 03 — Conduire l'analyse
Mener l'analyse en quatre étapes
La CNIL décrit une méthode en quatre étapes, que son logiciel PIA déroule pas à pas. Ce logiciel est open source.
- 1Délimiter le contexte — Décrire le traitement : finalités, données, personnes concernées, durées de conservation, destinataires, supports et flux.
- 2Analyser les mesures — Vérifier la nécessité et la proportionnalité (finalité, minimisation, base légale, information, droits des personnes) et recenser les mesures de sécurité existantes ou prévues.
- 3Apprécier les risques — Évaluer les atteintes possibles à la confidentialité, à l'intégrité et à la disponibilité des données, et leurs impacts sur la vie privée.
- 4Valider — Formaliser la décision de mettre en œuvre le traitement, avec l'avis du DPO et un plan d'action pour les risques qui subsistent.
Dans l'outil PIA, chaque risque doit être couvert par au moins une mesure, et l'avis du DPO se renseigne une fois toutes les parties traitées.
Demandez aussi, lorsque c'est approprié, l'avis des personnes concernées ou de leurs représentants (article 35, paragraphe 9). Si vous y renoncez, justifiez ce choix.
Faut-il obligatoirement utiliser l'outil PIA ?
Non. Aucune méthode n'est imposée : seul le contenu minimal de l'article 35 compte. Une AIPD menée avec un autre outil reste valable si elle couvre les quatre éléments exigés.
Le CEPD a adopté le 14 avril 2026 un modèle européen d'analyse d'impact, soumis à consultation publique jusqu'au 9 juin 2026. Son usage n'est pas obligatoire.
Chapitre 04 — Après l'analyse
Consultation préalable, mise à jour et preuve
Quand faut-il consulter la CNIL ?
Seulement si l'analyse montre un risque élevé que vos mesures ne suffisent pas à réduire (article 36, paragraphe 1). La consultation intervient alors avant le traitement. Sinon, rien à transmettre.
La demande se dépose via le téléservice de la CNIL. Elle comprend notamment la répartition des responsabilités, les finalités et moyens du traitement, les garanties prévues, les coordonnées du DPO et l'analyse elle-même (article 36, paragraphe 3).
| Situation | Délai | Fondement |
|---|---|---|
| La CNIL estime le traitement contraire au RGPD et rend un avis écrit | 8 semaines au plus après réception de la demande | Article 36, paragraphe 2 |
| Traitement complexe | Prolongation possible de 6 semaines | Article 36, paragraphe 2 |
Quand mettre l'analyse à jour ?
Au moins lorsque le risque change (article 35, paragraphe 11). La CNIL recommande de la revoir tout au long du cycle de vie du traitement. Réexaminez-la à chaque modification notable : nouvelles données, nouveau prestataire, incident de sécurité.
Faut-il publier l'analyse ?
Non, aucune publication n'est exigée. Conservez en revanche l'AIPD et ses versions successives : en cas de contrôle, elles montrent que le risque a été évalué avant la mise en œuvre.
Chapitre 05 — À retenir
À retenir
- L'AIPD est due avant tout traitement susceptible d'engendrer un risque élevé, et dans les trois cas de l'article 35, paragraphe 3.
- Consultez d'abord les deux listes de la CNIL (14 types soumis, 12 exemptés), puis appliquez la règle des deux critères sur neuf.
- Le contenu minimal est fixé par le RGPD ; la méthode est libre.
- Un risque élevé qui subsiste après vos mesures impose de consulter la CNIL avant de démarrer.
- L'analyse se met à jour dès que le risque évolue.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- AIPDL'AIPD, ou analyse d'impact relative à la protection des données, est une étude menée avant un traitement susceptible d'engendrer un risque élevé pour les personnes, afin d'évaluer ce risque et de définir les mesures pour le réduire.
- ProfilageLe profilage est l'utilisation automatisée de données personnelles pour évaluer certains aspects d'une personne, notamment pour analyser ou prédire son rendement au travail, sa situation économique, sa santé, ses préférences, son comportement ou ses déplacements.
- DPOLe DPO, ou délégué à la protection des données, est la personne désignée par un organisme pour l'informer, le conseiller et contrôler qu'il respecte le RGPD. Il est aussi l'interlocuteur de la CNIL et des personnes concernées.
- Données sensiblesLes données sensibles sont des catégories de données dont le traitement est interdit par principe : origine raciale ou ethnique, opinions politiques, religion, appartenance syndicale, données génétiques, biométriques, de santé, vie ou orientation sexuelle.
- CEPDLe CEPD (Comité européen de la protection des données) est l'organe de l'Union qui réunit les autorités de protection des données des États membres, dont la CNIL, pour veiller à une application cohérente du RGPD dans toute l'Europe.
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
