Analyse d’impact (AIPD) : dans quels cas est-elle obligatoire et comment la réaliser ?

Qu’est-ce qu’une AIPD ?

L’analyse d’impact relative à la protection des données (AIPD, ou DPIA en anglais pour Data Protection Impact Assessment) est une évaluation documentée des risques que présente un traitement de données personnelles pour les droits et libertés des personnes. Elle est prévue à l’article 35 du RGPD.

Quand est-elle obligatoire ?

L’AIPD est obligatoire lorsqu’un traitement est « susceptible d’engendrer un risque élevé ». La CNIL a publié une liste indicative des traitements nécessitant systématiquement une AIPD :

• Traitement à grande échelle de données sensibles (santé, biométrie, opinions politiques…)
• Surveillance systématique à grande échelle de personnes dans un espace public
• Profilage à grande échelle des personnes
• Traitement de données de personnes vulnérables (mineurs, patients…)
• Traitement automatisé destiné à prendre des décisions produisant des effets juridiques
• Combinaison innovante de traitements de données

Comment réaliser une AIPD

Une AIPD comprend quatre étapes : la description du traitement et de ses finalités, l’évaluation de la nécessité et de la proportionnalité, l’identification et l’évaluation des risques, et les mesures prévues pour traiter ces risques. La CNIL met à disposition un logiciel gratuit (PIA) pour réaliser cette analyse.

Quand consulter la CNIL ?

Si après l’AIPD les risques résiduels restent élevés malgré les mesures prises, une consultation préalable de la CNIL est obligatoire avant de mettre en œuvre le traitement.

Conclusion

L’AIPD est à la fois une obligation légale et un outil de gestion des risques. Bien réalisée, elle permet d’identifier et de corriger des problèmes avant qu’ils ne se concrétisent en incident ou en sanction.

Vous souhaitez savoir si vos traitements nécessitent une analyse d’impact ? Le Cabinet d’Avocat Mizrahi vous accompagne lors d’une première consultation gratuite de 30 minutes. Consultation gratuite →