AIPD : définition

Ce qu'il faut comprendre

L'analyse d'impact est prévue par l'article 35 du RGPD. Elle n'est obligatoire que si le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Le RGPD cite trois cas : l'évaluation systématique et approfondie fondée sur un traitement automatisé, le traitement à grande échelle de données sensibles ou d'infraction, et la surveillance systématique à grande échelle d'une zone accessible au public.

La CNIL a publié une liste des types de traitements pour lesquels une AIPD est requise, par exemple la gestion des données de santé des patients ou résidents, ou la surveillance de l'activité des salariés. Les lignes directrices européennes retiennent neuf critères : lorsqu'un traitement en remplit au moins deux, une analyse est en principe nécessaire.

L'AIPD contient une description du traitement, une évaluation de sa nécessité et de sa proportionnalité, une évaluation des risques et les mesures prévues. Le DPO doit être consulté. Si un risque élevé subsiste malgré les mesures, la CNIL doit être consultée avant la mise en œuvre. Erreur fréquente : réaliser l'AIPD après le lancement du projet. Elle doit précéder le traitement et être revue lorsque le risque évolue.

Exemple concret

Un EHPAD prévoit d'installer des capteurs de chute dans les chambres, reliés à une application pour les soignants. Le traitement porte sur des données de santé de personnes vulnérables et repose sur une technologie nouvelle : deux critères sont réunis. L'établissement réalise une AIPD avec son DPO, limite les données collectées, restreint les accès et documente le tout avant la mise en service.

Textes de référence

• RGPD, art. 35
• RGPD, art. 36

Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.