Lexique · Gouvernance & conformité

AIPD

Analyse écrite qui évalue, avant sa mise en œuvre, les risques qu'un traitement de données personnelles fait peser sur les droits et libertés des personnes, ainsi que les mesures prévues pour les réduire. Elle est obligatoire quand le traitement est susceptible d'engendrer un risque élevé (article 35 du RGPD).

Rubrique: Gouvernance
Mise à jour: 11.10.26
Articles: 3

Notions liées

Sources · 3

[1] Ce qu'il faut savoir sur l'analyse d'impact relative à la protection des données (AIPD) (CNIL)
[2] Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise (CNIL)
[3] CHAPITRE IV, Responsable du traitement et sous-traitant : articles 35 et 36 (CNIL)

Ce que ça change pour une organisation

L’AIPD incombe au responsable de traitement, qui doit la conduire avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes (article 35, paragraphe 1). Le RGPD l’impose notamment pour l’évaluation systématique et approfondie d’aspects personnels par traitement automatisé (profilage compris) débouchant sur des décisions aux effets juridiques ou significatifs, pour le traitement à grande échelle de catégories particulières de données et pour la surveillance systématique à grande échelle d’une zone accessible au public.

La CNIL ajoute une liste de traitements pour lesquels l’analyse est requise, et retient comme règle pratique le cumul d’au moins deux critères parmi neuf issus des lignes directrices du G29 (notation, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, entre autres).

L’analyse décrit les opérations et leurs finalités, évalue la nécessité et la proportionnalité, apprécie les risques et prévoit des mesures (article 35, paragraphe 7). Si le risque résiduel reste élevé, la CNIL doit être consultée avant le lancement (article 36). Le manquement est passible de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.

Exemple

La liste de la CNIL range parmi les traitements de surveillance constante des salariés les dispositifs de cyber-surveillance qui analysent les courriels sortants pour détecter des fuites d’information (outils de prévention des fuites de données, ou DLP), en y associant les critères de surveillance systématique et de personnes dites « vulnérables ». Une entreprise qui déploie un tel outil doit donc mener une AIPD avant sa mise en service.

À ne pas confondre avec

L’analyse de risques de sécurité : l’AIPD en contient une, mais elle y ajoute l’évaluation de la nécessité et de la proportionnalité du point de vue des personnes.
Le registre des traitements : il recense toutes les activités, alors que l’AIPD approfondit celles qui présentent un risque élevé.
La consultation préalable de la CNIL (article 36) : elle n’intervient qu’à l’issue de l’AIPD, si le risque résiduel demeure élevé.

Employé dans

3 articles