En bref
L'AIPD est obligatoire avant tout traitement susceptible d'engendrer un risque élevé pour les droits des personnes. Son absence expose à des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.
Fondement juridique et définition de l'analyse d'impact
Art. 35§1 Règlement (UE) 2016/679
« Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. »
Source : Règlement (UE) 2016/679 — RGPD
Ne pas confondre AIPD et registre des traitements
Le registre des traitements (article 30 du RGPD) recense tous les traitements de manière descriptive. L'AIPD évalue en profondeur les risques de ceux présentant un danger élevé. Réaliser l'un ne dispense jamais de l'autre : les deux obligations sont cumulatives.
Critères déclenchant l'obligation de réaliser une AIPD
Art. 35§3 Règlement (UE) 2016/679
« L'AIPD est en particulier requise dans trois cas : l'évaluation systématique d'aspects personnels incluant le profilage avec effets juridiques, le traitement à grande échelle de catégories particulières de données ou de données pénales, et la surveillance systématique à grande échelle d'une zone accessible au public. »
Source : Règlement (UE) 2016/679 — RGPD
Appliquer la règle des deux critères sur neuf du CEPD
Les lignes directrices WP248 rév.01 du CEPD identifient neuf critères de risque. Dès que votre traitement en remplit au moins deux, l'AIPD s'impose. Utilisez cette grille systématiquement avant tout nouveau projet impliquant des données personnelles pour déterminer si une analyse est nécessaire.
Besoin d'un dossier juridique ?
Générez votre dossier complet en 3 minutes — mise en demeure personnalisée, chronologie des faits, plan de relances, signée par Me Sandy Lacroix.
Contenu obligatoire et méthodologie de réalisation
Art. 35§7 Règlement (UE) 2016/679
« L'analyse d'impact contient au minimum une description systématique des opérations de traitement et de leurs finalités, une évaluation de la nécessité et de la proportionnalité, une évaluation des risques pour les droits et libertés des personnes, et les mesures envisagées pour faire face à ces risques. »
Source : Règlement (UE) 2016/679 — RGPD
Utiliser l'outil gratuit PIA de la CNIL
Le logiciel libre PIA, édité par la CNIL, structure l'AIPD en quatre phases et couvre l'intégralité des exigences de l'article 35§7 du RGPD. Disponible en téléchargement sur le site de la CNIL, il constitue la référence méthodologique reconnue par les autorités de contrôle européennes.
Rôle des acteurs : responsable de traitement, DPO et sous-traitants
Le DPO conseille mais ne décide pas
Confier au délégué à la protection des données le pouvoir de décision sur l'AIPD crée un conflit d'intérêts contraire à l'article 38, paragraphe 6, du RGPD. Le DPO émet un avis consultatif ; la responsabilité juridique finale repose exclusivement sur le responsable de traitement.
Consultation préalable de la CNIL en cas de risque résiduel élevé
Art. 36§1 Règlement (UE) 2016/679
« Le responsable du traitement consulte l'autorité de contrôle préalablement au traitement lorsqu'une analyse d'impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque. »
Source : Règlement (UE) 2016/679 — RGPD
Sanctions encourues et recommandations pratiques pour sécuriser l'AIPD
Les petites structures ne sont pas dispensées d'AIPD
L'obligation d'AIPD s'applique indépendamment de la taille de l'organisme. Une association, une start-up ou un artisan traitant des données sensibles ou procédant à un suivi systématique doit réaliser cette analyse au même titre qu'une grande entreprise.
Intégrer l'AIPD dès la conception du traitement
Appliquer le principe de privacy by design (article 25 du RGPD) en réalisant l'AIPD dès la phase de conception du projet. Cette approche réduit les coûts de mise en conformité, évite les refontes tardives et démontre la diligence du responsable en cas de contrôle de la CNIL.
Questions fréquentes
Qu'est-ce qu'une analyse d'impact AIPD et quand est-elle obligatoire ?
L'AIPD est une évaluation formalisée des risques que présente un traitement de données personnelles pour les droits et libertés des personnes concernées. Elle est obligatoire dès lors que le traitement est susceptible d'engendrer un risque élevé, notamment en cas de profilage automatisé, de traitement de données sensibles à grande échelle ou de vidéosurveillance d'espaces publics.
Qui est responsable de la réalisation de l'AIPD au sein d'une organisation ?
Le responsable de traitement porte l'obligation légale de conduire l'AIPD. Le délégué à la protection des données intervient en qualité de conseil et vérifie l'exécution de l'analyse, mais la décision finale et la responsabilité juridique reposent exclusivement sur le responsable de traitement, conformément à l'article 35 du RGPD.
Quelles sanctions encourt-on en cas d'absence d'AIPD ?
L'article 83, paragraphe 4, du RGPD prévoit des amendes administratives pouvant atteindre dix millions d'euros ou 2 % du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu. La CNIL peut également prononcer des mises en demeure, des injonctions de mise en conformité ou des limitations temporaires du traitement.
Faut-il transmettre systématiquement l'AIPD à la CNIL ?
Non. L'AIPD n'est transmise à la CNIL que dans le cadre de la consultation préalable prévue à l'article 36 du RGPD, lorsque le risque résiduel demeure élevé malgré les mesures de protection adoptées. Le responsable de traitement doit néanmoins tenir l'AIPD à disposition de la CNIL en cas de contrôle sur place ou sur pièces.
Engager une procédure près de chez vous
Tribunaux judiciaires et commissaires de justice dans les principales juridictions
- Procédure à Hyeres
- Procédure à Cholet
- Procédure à Vannes
- Procédure à Pessac
- Procédure à Charleville Mezieres
Votre ville n'est pas listée ? Voir toutes les juridictions (100+ villes) →
Vous êtes dans cette situation ?
Générez votre dossier complet en 3 minutes — mise en demeure, chronologie des faits, plan de relances, signée par Me Sandy Lacroix.
Générer mon dossier juridiqueÀ partir de 14,90 € · paiement sécurisé · satisfait ou remboursé 14 jours