L'essentiel en 30 secondes
- L'AIPD est obligatoire avant tout traitement susceptible d'engendrer un risque élevé.
- La CNIL publie une liste des traitements concernés, et deux critères du CEPD suffisent généralement.
- Si le risque reste élevé malgré les mesures, il faut consulter la CNIL avant de commencer.
Qu'est-ce qu'une AIPD ?
L'analyse d'impact relative à la protection des données, souvent appelée AIPD ou PIA pour Privacy Impact Assessment, est une étude menée avant la mise en œuvre d'un traitement pour évaluer les risques qu'il fait peser sur les droits et libertés des personnes et définir les mesures qui permettront de les réduire à un niveau acceptable. Prévue par l'article 35 du RGPD, elle est obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé. Elle ne mesure pas le risque pour l'entreprise (financier ou d'image) mais le risque pour les personnes : accès illégitime à leurs données, modification non désirée, disparition, et les conséquences qui en résulteraient pour elles.
Quand est-elle obligatoire ?
L'article 35 cite trois cas : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, sur la base de laquelle sont prises des décisions produisant des effets juridiques ; le traitement à grande échelle de données sensibles ou pénales ; la surveillance systématique à grande échelle d'une zone accessible au public. La CNIL a complété cette liste par une délibération de 2018 qui énumère des types de traitements pour lesquels une AIPD est requise, comme la gestion des alertes professionnelles, le profilage à des fins de ressources humaines, la surveillance constante de l'activité des salariés, les traitements de données de santé dans les établissements de soins ou la géolocalisation à grande échelle. Elle publie aussi une liste de traitements pour lesquels elle n'est pas requise.
La règle des deux critères
Les lignes directrices du groupe de l'article 29 de 2017, reprises par le CEPD, proposent neuf critères ; un traitement qui en remplit au moins deux doit, dans la plupart des cas, faire l'objet d'une AIPD. Par exemple, une application de suivi de la santé de salariés réunit les données sensibles et les personnes vulnérables ; un programme de fidélité qui profile des millions de clients réunit l'évaluation et la grande échelle. En cas de doute, il est plus sûr de réaliser l'analyse, ou au moins de documenter pourquoi on estime qu'elle n'est pas nécessaire.
Le contenu minimal
Le paragraphe 7 de l'article 35 impose quatre éléments : une description systématique des opérations de traitement envisagées et de leurs finalités ; une évaluation de la nécessité et de la proportionnalité des opérations au regard des finalités ; une évaluation des risques pour les droits et libertés des personnes ; les mesures envisagées pour faire face aux risques, y compris les garanties et mécanismes de sécurité. Le responsable doit demander l'avis du délégué à la protection des données lorsqu'il en a désigné un et, le cas échéant, l'avis des personnes concernées ou de leurs représentants.
- Décrire le contexteFinalités, données, acteurs, supports, cycle de vie
- Vérifier les principesBase légale, minimisation, durées, information, droits, sous-traitants
- Évaluer les risquesAccès illégitime, modification, disparition : gravité et vraisemblance
- Décider et suivrePlan de mesures, validation, réexamen périodique
Évaluer les risques
La méthode de la CNIL distingue trois événements redoutés : l'accès illégitime aux données, leur modification non désirée et leur disparition. Pour chacun, on identifie les sources de risque (salarié malveillant ou maladroit, pirate, prestataire, panne), les menaces sur les supports (vol d'ordinateur, faille logicielle, erreur d'envoi), puis on estime la gravité pour les personnes et la vraisemblance, sur une échelle de un à quatre. Les mesures existantes ou prévues réduisent la vraisemblance ou la gravité ; le risque résiduel est ensuite comparé au niveau acceptable.
L'outil PIA de la CNIL
La CNIL met à disposition gratuitement un logiciel libre, l'outil PIA, qui guide pas à pas dans la réalisation d'une analyse d'impact et produit un rapport et une cartographie des risques. Il existe aussi des modèles sectoriels et des référentiels qui fournissent une base pour certains traitements courants, ce qui allège considérablement le travail pour une petite structure.
La consultation préalable de la CNIL
Si l'analyse montre que le traitement présenterait un risque élevé que le responsable ne peut pas atténuer par des mesures appropriées, il doit consulter la CNIL avant de commencer (article 36). L'autorité dispose de huit semaines, prolongeables de six semaines, pour rendre un avis écrit et peut, si nécessaire, user de ses pouvoirs correctifs. Ce cas reste rare : la plupart des AIPD aboutissent à un plan de mesures qui ramène le risque à un niveau acceptable.
Faire vivre l'analyse
Une AIPD n'est pas un document figé : elle doit être réexaminée lorsque le traitement change (nouvelle finalité, nouvelle technologie, nouveau sous-traitant, extension à de nouvelles personnes) et, en tout état de cause, à intervalles réguliers, la CNIL recommandant tous les trois ans au plus. Elle s'articule avec la démarche de protection des données dès la conception : réalisée tôt, elle permet de corriger un projet avant qu'il ne soit coûteux de le modifier. Pour les systèmes d'intelligence artificielle, elle peut être menée conjointement avec les évaluations prévues par le règlement européen sur l'IA, comme l'explique le guide sur le RGPD et l'intelligence artificielle.
Les neuf critères du CEPD
Pour identifier les traitements susceptibles d'engendrer un risque élevé, les lignes directrices européennes sur l'analyse d'impact retiennent neuf critères : l'évaluation ou la notation des personnes, y compris le profilage et la prédiction ; la prise de décision automatisée avec effet juridique ou similaire ; la surveillance systématique ; le traitement de données sensibles ou à caractère hautement personnel ; le traitement à grande échelle ; le croisement ou la combinaison d'ensembles de données ; les données concernant des personnes vulnérables, comme les salariés, les patients, les enfants ou les personnes âgées ; l'usage innovant ou l'application de nouvelles solutions technologiques ou organisationnelles ; et les traitements qui empêchent les personnes d'exercer un droit ou de bénéficier d'un service ou d'un contrat. Un traitement qui remplit au moins deux de ces critères doit en principe faire l'objet d'une analyse d'impact.
La liste de la CNIL
La CNIL a publié, après avis du CEPD, une liste des types d'opérations pour lesquels une analyse d'impact est obligatoire. Elle comprend notamment les traitements de données de santé mis en œuvre par les établissements de santé ou médico-sociaux pour la prise en charge des personnes, les traitements portant sur des données génétiques de personnes vulnérables, les traitements établissant des profils de personnes à des fins de gestion des ressources humaines, la surveillance constante de l'activité des salariés, la gestion des alertes et signalements en matière sociale et sanitaire ou professionnelle, les traitements de données de localisation à large échelle, le profilage des personnes à partir de données provenant de sources externes, les traitements de données biométriques aux fins de reconnaissance des personnes parmi lesquelles figurent des personnes vulnérables, l'instruction des demandes et la gestion des logements sociaux, l'accompagnement social ou médico-social, et les traitements d'évaluation du risque de crédit. Elle a aussi publié une liste de traitements pour lesquels une analyse n'est pas requise, comme la gestion de la paie ou des relations avec les fournisseurs.
| AIPD obligatoire (liste CNIL) | AIPD non requise (liste CNIL) |
|---|---|
| Profils RH, surveillance constante des salariés | Gestion de la paie et des ressources humaines courante |
| Données de santé en établissement | Gestion des fournisseurs |
| Localisation à large échelle | Contrôle d'accès physique simple, hors biométrie |
| Dispositifs d'alerte professionnelle | Gestion des membres d'une association |
| Évaluation du risque de crédit | Relations clients courantes sans profilage |
Un exemple d'analyse d'impact
Prenons une chaîne de magasins qui souhaite installer des caméras dites « augmentées » pour analyser la fréquentation et détecter les comportements suspects. Le traitement repose sur une surveillance systématique, un usage innovant et potentiellement une grande échelle : l'analyse d'impact s'impose. L'équipe projet décrit d'abord le traitement, ses finalités, les données captées, les durées et les destinataires. Elle évalue ensuite la nécessité et la proportionnalité : existe-t-il des moyens moins intrusifs ? Les images sont-elles floutées ? Les données sont-elles agrégées ? Elle identifie enfin les risques pour les personnes, comme l'accès illégitime aux images, la surveillance des salariés ou l'erreur d'analyse conduisant à une interpellation injustifiée, et définit des mesures pour les réduire. Si le risque résiduel reste élevé, la consultation préalable de la CNIL est nécessaire. La CNIL a d'ailleurs publié en 2022 une position sur les caméras augmentées dans l'espace public, qui considère que beaucoup de ces usages nécessitent un encadrement légal spécifique.
- DécrireFinalités, données, flux, acteurs, durées
- JustifierNécessité, proportionnalité, base légale, droits
- Évaluer les risquesAccès illégitime, modification, disparition
- TraiterMesures, risque résiduel, décision
Évaluer la gravité et la vraisemblance
La méthode de la CNIL évalue chaque risque selon deux axes. La gravité mesure l'ampleur des conséquences pour les personnes : négligeable, limitée, importante ou maximale. Une fuite de coordonnées professionnelles a une gravité limitée ; une fuite de données de santé ou de coordonnées bancaires, une gravité importante ou maximale. La vraisemblance mesure la probabilité que le risque se réalise, compte tenu des menaces et des vulnérabilités : un serveur exposé sur internet sans mise à jour présente une vraisemblance élevée. Le croisement des deux axes situe chaque risque sur une cartographie et permet de prioriser les mesures. L'objectif est de ramener tous les risques à un niveau acceptable, en agissant sur la gravité, par exemple en minimisant les données, ou sur la vraisemblance, par exemple en renforçant la sécurité.
Les trois événements redoutés
La méthode distingue trois événements redoutés pour les personnes : l'accès illégitime aux données, qui porte atteinte à la confidentialité ; la modification non désirée des données, qui porte atteinte à leur intégrité ; et la disparition des données, qui porte atteinte à leur disponibilité. Pour chacun, l'analyse identifie les sources de risque, comme un pirate, un salarié malveillant ou un prestataire négligent, les supports exposés, comme les postes de travail, les serveurs ou les documents papier, et les impacts potentiels sur les personnes.
Qui participe à l'analyse d'impact ?
L'analyse d'impact relève de la responsabilité du responsable de traitement, qui doit demander conseil au délégué à la protection des données lorsqu'il en a désigné un. Elle mobilise en pratique le chef de projet ou le service métier, qui connaît les finalités, la direction informatique ou le responsable de la sécurité, qui évalue les mesures techniques, le service juridique, et le cas échéant le sous-traitant, qui doit fournir les informations nécessaires. L'article 35, paragraphe 9, invite aussi le responsable à demander, s'il y a lieu, l'avis des personnes concernées ou de leurs représentants, par exemple les représentants du personnel pour un traitement concernant les salariés. Cette approche collective améliore la qualité de l'analyse et facilite l'acceptation du projet.
Les AIPD dans les projets d'intelligence artificielle
Les projets d'intelligence artificielle réunissent souvent plusieurs critères de risque : usage innovant, traitement à grande échelle, évaluation des personnes, voire décision automatisée. La CNIL recommande de mener une analyse d'impact pour le développement de systèmes d'IA lorsque ces critères sont réunis et identifie des risques spécifiques : mémorisation de données d'entraînement par le modèle, possibilité d'extraire des informations personnelles, biais discriminatoires, manque de transparence. Le règlement européen sur l'intelligence artificielle impose par ailleurs une analyse d'impact sur les droits fondamentaux pour certains déployeurs de systèmes à haut risque, qui peut s'articuler avec l'analyse d'impact du RGPD sans la remplacer.
Les mesures pour traiter les risques
Une fois les risques identifiés, l'analyse d'impact définit les mesures qui permettent de les ramener à un niveau acceptable. Elles peuvent porter sur les données elles-mêmes, avec la minimisation, la pseudonymisation, l'anonymisation ou la réduction des durées de conservation. Elles peuvent être techniques : chiffrement, contrôle d'accès, journalisation, cloisonnement, sauvegardes, sécurité des postes et des réseaux. Elles peuvent être organisationnelles : politique d'habilitation, formation, procédures de gestion des incidents, contrats avec les sous-traitants, audits. Elles peuvent enfin renforcer les droits des personnes, par une information plus claire, un droit d'opposition facilité ou une intervention humaine dans les décisions. Chaque mesure est rattachée au risque qu'elle réduit, et le niveau de risque résiduel est réévalué après application.
| Type de mesure | Exemples |
|---|---|
| Sur les données | Minimisation, pseudonymisation, durées courtes |
| Techniques | Chiffrement, authentification forte, journalisation |
| Organisationnelles | Habilitations, formation, procédures, contrats |
| Droits des personnes | Information renforcée, opposition simple, intervention humaine |
La validation de l'analyse
L'analyse d'impact se conclut par une décision du responsable de traitement, qui valide le projet en l'état, demande des adaptations ou y renonce. Le délégué à la protection des données rend un avis, qui doit être documenté ; s'il n'est pas suivi, le responsable doit expliquer pourquoi. La décision et l'avis sont conservés avec l'analyse. Si le risque résiduel reste élevé malgré les mesures envisagées, le responsable doit consulter la CNIL avant de mettre en œuvre le traitement. La CNIL dispose alors d'un délai de huit semaines, prolongeable de six semaines, pour rendre un avis écrit et peut, le cas échéant, faire usage de ses pouvoirs correctifs.
Publier tout ou partie de l'analyse
Le RGPD n'impose pas de publier l'analyse d'impact, mais les lignes directrices européennes encouragent à en publier au moins un résumé, notamment pour les organismes publics et pour les traitements qui concernent un large public. Une publication, même partielle, renforce la confiance et la transparence, en montrant que les risques ont été pris au sérieux. Les éléments qui pourraient compromettre la sécurité, comme le détail des mesures techniques, ou relevant du secret des affaires, peuvent être omis. Plusieurs administrations publient ainsi le résumé des analyses d'impact de leurs grands téléservices.
Les erreurs à éviter
Plusieurs erreurs affaiblissent les analyses d'impact. La première est de la mener après le lancement du traitement, alors qu'elle doit précéder sa mise en œuvre pour pouvoir influencer sa conception. La deuxième est de la réduire à un formulaire rempli mécaniquement, sans réelle réflexion sur les risques pour les personnes. La troisième est de confondre les risques pour l'organisme, comme le risque de sanction ou d'atteinte à l'image, et les risques pour les personnes, qui sont seuls visés par le RGPD. La quatrième est d'oublier de la mettre à jour lorsque le traitement évolue. Enfin, certains organismes confient entièrement l'analyse à un prestataire extérieur, sans implication des équipes qui connaissent le projet, ce qui produit un document théorique peu utile.
L'AIPD pour les traitements existants
Les traitements mis en œuvre avant le 25 mai 2018 n'étaient pas soumis à l'obligation d'analyse d'impact s'ils avaient fait l'objet d'une formalité préalable auprès de la CNIL. Cette dispense était transitoire : la CNIL a indiqué que ces traitements devaient faire l'objet d'une analyse d'impact au plus tard dans un délai de trois ans, soit avant mai 2021, et en tout état de cause dès qu'ils subissent une modification significative. Aujourd'hui, tous les traitements susceptibles d'engendrer un risque élevé doivent donc disposer d'une analyse d'impact, quelle que soit leur date de création.
AIPD et sous-traitance
Lorsque le traitement repose sur un sous-traitant, celui-ci doit aider le responsable à réaliser l'analyse d'impact, en lui fournissant les informations nécessaires sur les mesures de sécurité, les lieux d'hébergement, les sous-traitants ultérieurs et les transferts. Certains éditeurs de logiciels publient des analyses d'impact types pour leurs solutions, que les clients peuvent adapter à leur contexte. Ces documents constituent une base utile, mais ils ne dispensent pas le responsable d'analyser les risques propres à son usage, à ses données et à ses personnes concernées.
Une AIPD, aussi un document de projet
Une analyse d'impact bien menée clarifie les choix, aligne les équipes et sert de référence lors des évolutions ultérieures du traitement. Elle aide aussi à répondre aux questions des clients, des partenaires ou des représentants du personnel, qui y trouvent une description fidèle du dispositif et des garanties.