Analyse d'impact sur la protection des données (AIPD) : quand et comment

Points clés

Point	Résumé
Quand c'est requis	Obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les individus
Déclencheurs spécifiques	Prise de décision automatisée, données de catégories particulières à grande échelle, surveillance systématique
Finalité	Identifier et atténuer les risques privacy avant que le traitement ne commence
Documentation	Doit documenter l'évaluation, les risques identifiés et les mesures prises
Consultation DPA	Peut nécessiter de consulter l'autorité de contrôle si les risques résiduels restent élevés

Réponse rapide : Une AIPD est requise quand le traitement est susceptible d'engendrer un risque élevé pour les individus, particulièrement pour le profilage automatisé, les données sensibles à grande échelle ou la surveillance systématique. Menez les AIPD avant le début du traitement pour identifier et traiter les risques.

Quand une AIPD est-elle requise ?

Déclencheurs obligatoires d'AIPD

L'article 35 du RGPD impose des AIPD quand le traitement est "susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques". Trois scénarios spécifiques exigent toujours une AIPD :

Déclencheur	Description
Prise de décision automatisée	Évaluation systématique et extensive d'individus basée sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques ou similairement significatifs
Données de catégories particulières à grande échelle	Traitement de données de catégories particulières (santé, biométrie, origine raciale, etc.) ou de données relatives aux condamnations pénales à grande échelle
Surveillance systématique	Surveillance systématique de zones accessibles au public à grande échelle

Indicateurs de risque élevé supplémentaires

Le Comité européen de la protection des données (CEPD) a identifié des critères supplémentaires. Un traitement impliquant deux ou plus de ces critères nécessite généralement une AIPD :

Critère	Exemple
Évaluation ou scoring	Scoring de crédit, profilage comportemental, évaluations de santé
Prise de décision automatisée	Décisions algorithmiques affectant l'accès aux services
Surveillance systématique	Tracking de localisation, comportement ou activités
Données sensibles	Dossiers médicaux, biométrie, données financières
Grande échelle	Traitement affectant de nombreux individus
Croisement ou combinaison	Combinaison de jeux de données de différentes sources
Personnes vulnérables	Traitement de données d'enfants, données d'employés
Technologie innovante	Nouvelles technologies avec implications privacy inconnues
Empêchement d'exercice des droits	Traitement qui pourrait bloquer l'accès des individus aux services

Exigences des DPA nationales

De nombreuses autorités nationales de protection des données publient des listes d'activités de traitement qui nécessitent spécifiquement des AIPD dans leur juridiction. Les organisations devraient vérifier les recommandations des DPA pertinentes pour leurs lieux d'opération.

Quand une AIPD n'est pas requise

Une AIPD n'est pas requise quand :

• Le traitement est peu susceptible d'engendrer un risque élevé pour les individus
• Une AIPD très similaire a déjà été menée pour un traitement similaire
• Le traitement a une base légale dans la loi qui exigeait déjà une analyse d'impact
• Le traitement est sur la "liste blanche" de la DPA nationale (si disponible)

Processus d'AIPD

Étape 1 : Décrire le traitement

Documenter clairement le traitement proposé :

Élément	Description
Nature	Quelles opérations seront effectuées sur les données personnelles ?
Portée	Quelles données, combien, combien de temps, combien de personnes affectées ?
Contexte	Facteurs internes/externes, relation avec les personnes concernées
Finalités	Pourquoi ce traitement a-t-il lieu ? Qu'atteindra-t-il ?

Étape 2 : Évaluer la nécessité et la proportionnalité

Évaluer si le traitement est nécessaire et proportionné :

Question	Considération
Y a-t-il une base légale ?	Quelle base légale s'applique ? Est-elle appropriée ?
Le traitement est-il nécessaire ?	La finalité pourrait-elle être atteinte avec moins de données ou des moyens moins intrusifs ?
Les données sont-elles minimisées ?	Seules les données nécessaires sont-elles traitées ?
Combien de temps les données sont-elles conservées ?	Les durées de conservation sont-elles appropriées et justifiées ?
Les données sont-elles exactes ?	Y a-t-il des mécanismes pour assurer l'exactitude ?
Les individus sont-ils informés ?	La politique de confidentialité est-elle adéquate ?
Les droits peuvent-ils être exercés ?	Des processus sont-ils en place pour l'accès, l'effacement, etc. ?

Étape 3 : Identifier et évaluer les risques

Considérer les risques pour les droits et libertés des individus :

Catégories de risques :

Type de risque	Exemples
Préjudice physique	Risques de sécurité liés à l'exposition des données
Préjudice matériel	Perte financière, vol d'identité
Préjudice non matériel	Détresse, dommage réputationnel, discrimination
Perte de contrôle	Les individus perdent le contrôle de leurs données
Limitation des droits	Se voir refuser des services, surveillance

Matrice d'évaluation des risques :

Probabilité/Gravité	Faible	Moyenne	Élevée
Faible	Risque faible	Risque faible	Risque moyen
Moyenne	Risque faible	Risque moyen	Risque élevé
Élevée	Risque moyen	Risque élevé	Risque élevé

Étape 4 : Identifier les mesures pour atténuer les risques

Pour chaque risque identifié, déterminer les mesures appropriées :

Type de mesure	Exemples
Technique	Chiffrement, contrôles d'accès, pseudonymisation, anonymisation
Organisationnelle	Politiques, formation, audits, accès limité
Juridique	Contrats, mécanismes de consentement, notices privacy
Processus	Minimisation des données, limites de conservation, vérifications d'exactitude

Étape 5 : Documenter et réviser

Documenter l'AIPD incluant :

• Description du traitement
• Évaluation de la nécessité et proportionnalité
• Risques identifiés et leur évaluation
• Mesures pour traiter les risques
• Tout risque résiduel et pourquoi il est acceptable
• Validation des parties prenantes appropriées

Structure de template d'AIPD

Un document d'AIPD typique inclut :

Section 1 : Vue d'ensemble du traitement

Champ	Contenu
Nom du projet	Nom de l'activité de traitement ou du projet
Responsable	Organisation responsable
Consultation DPO	Confirmation que le DPO a été consulté
Finalité	Pourquoi le traitement est entrepris
Base légale	Quelle base légale RGPD s'applique
Personnes concernées	Catégories d'individus affectés
Catégories de données	Types de données personnelles traitées
Destinataires	Qui recevra les données
Conservation	Combien de temps les données seront conservées
Transferts internationaux	Tout transfert hors EEE

Section 2 : Évaluation de la nécessité

Question	Réponse
Le traitement est-il nécessaire pour la finalité déclarée ?
La finalité pourrait-elle être atteinte autrement ?
La quantité de données est-elle proportionnée ?
Les durées de conservation sont-elles justifiées ?
Des garanties appropriées sont-elles en place ?

Section 3 : Évaluation des risques

Risque	Probabilité	Gravité	Risque global
[Décrire le risque 1]	Faible/Moyenne/Élevée	Faible/Moyenne/Élevée	Faible/Moyen/Élevé
[Décrire le risque 2]

Section 4 : Atténuation des risques

Risque	Mesure d'atténuation	Risque résiduel
[Risque 1]	[Mesure prise]	[Niveau de risque restant]
[Risque 2]

Section 5 : Validation

Rôle	Nom	Date	Signature
Chef de projet
DPO
Direction

Quand consulter l'autorité de contrôle

Si les risques résiduels restent élevés après les mesures d'atténuation (ce qui signifie que vous ne pouvez pas suffisamment réduire le risque par des mesures raisonnables), le RGPD exige une consultation de l'autorité de contrôle avant de procéder.

Processus de consultation préalable :

1. Soumettre l'AIPD à l'autorité de contrôle
2. Inclure des informations détaillées sur le traitement et les mesures prises
3. L'autorité a 8 semaines pour répondre (extensible de 6 semaines)
4. L'autorité peut fournir des conseils, exiger des changements ou interdire le traitement

En pratique, la consultation préalable est relativement rare. La plupart des organisations peuvent réduire les risques à des niveaux acceptables par des mesures appropriées.

Intégrer les AIPD dans les opérations

Quand mener des AIPD

Mener les AIPD tôt (avant le début du traitement) quand :

Déclencheur	Action
Nouveau produit ou fonctionnalité	AIPD pendant la phase de design
Nouveau fournisseur avec accès aux données	AIPD avant l'onboarding
Entrée sur un nouveau marché	AIPD pour les nouveaux contextes de traitement
Changement technologique	AIPD si le traitement change significativement
Changement réglementaire	Réviser les AIPD existantes pour leur validité continue

AIPD dans le cycle de développement

Intégrer les AIPD dans le développement produit :

Phase 1 : Planification

• Identifier si une AIPD est requise
• Commencer le processus d'AIPD en parallèle du recueil des exigences

Phase 2 : Design

• Compléter l'AIPD pendant le design technique
• Incorporer les mesures d'atténuation dans les spécifications

Phase 3 : Développement

• Implémenter les mesures identifiées dans l'AIPD
• Mettre à jour l'AIPD si le design change

Phase 4 : Lancement

• Confirmer que toutes les mesures de l'AIPD sont implémentées
• Obtenir la validation avant le go-live

Phase 5 : Continu

• Réviser l'AIPD périodiquement
• Mettre à jour si le traitement change matériellement

Scénarios courants d'AIPD

Scénario 1 : Surveillance des employés

Élément	Considération
Déclencheur	Surveillance systématique, personnes vulnérables (employés)
Risques clés	Intrusion dans la vie privée, effet inhibiteur, discrimination
Mesures typiques	Politique claire, scope proportionné, transparence, conservation limitée

Scénario 2 : IA/ML sur des données personnelles

Élément	Considération
Déclencheur	Prise de décision automatisée, évaluation/scoring, technologie innovante
Risques clés	Décisions injustes, manque de transparence, biais
Mesures typiques	Supervision humaine, explicabilité, tests de biais, monitoring de l'exactitude

Scénario 3 : Traitement de données de santé

Élément	Considération
Déclencheur	Données de catégories particulières, potentiellement grande échelle
Risques clés	Discrimination, accès non autorisé, préjudice psychologique
Mesures typiques	Chiffrement fort, contrôles d'accès stricts, pseudonymisation, consentement renforcé

Scénario 4 : Profilage client

Élément	Considération
Déclencheur	Évaluation/scoring, potentiellement décisions automatisées
Risques clés	Traitement injuste, utilisations inattendues, perte de contrôle
Mesures typiques	Transparence, mécanismes d'opt-out, revue humaine, scope de profilage limité

Erreurs courantes

Erreur	Meilleure approche
Mener l'AIPD après le lancement	Commencer l'AIPD pendant la planification/design
Traiter l'AIPD comme exercice de checkbox	S'engager authentiquement avec les risques
Ne considérer que le risque de violation de données	Considérer la gamme complète des préjudices
Ne pas impliquer le DPO	Consulter le DPO tout au long
Ne pas réviser les AIPD	Réviser quand le traitement change
Évaluations de risques génériques	Évaluer les risques spécifiques à votre traitement

Comment Bastion peut vous aider

Les AIPD nécessitent d'équilibrer exigences légales, considérations techniques et besoins business pratiques. Travailler avec des partenaires expérimentés aide à s'assurer que les AIPD sont rigoureuses sans devenir des obstacles au traitement légitime.

Défi	Comment nous aidons
Déclencheurs d'AIPD	Conseils sur quand les AIPD sont requises pour vos activités de traitement
Identification des risques	Support pour identifier les risques pertinents basés sur votre contexte spécifique
Mesures d'atténuation	Recommandations pour une atténuation des risques pratique et efficace
Documentation	Templates et support pour créer des enregistrements d'AIPD complets
Intégration dans les processus	Aide pour intégrer les exigences d'AIPD dans votre cycle de développement
Revue et mises à jour	Revue périodique des AIPD existantes à mesure que le traitement évolue

Bien faire les AIPD aide les organisations à avancer avec confiance sur les nouvelles initiatives tout en démontrant la responsabilité, évitant à la fois la paralysie de l'excès de prudence et les risques de la sous-évaluation.

---

Des questions sur quand ou comment mener des AIPD ? Parlons-en →

---

Sources

• Article 35 du RGPD (EUR-Lex) - Exigences officielles d'AIPD
• Lignes directrices CEPD sur l'AIPD - Guidance WP29/CEPD sur les AIPD
• Guidance ICO sur les DPIA - Guidance de l'Information Commissioner britannique