L’analyse d’impact (AIPD) : quand elle est obligatoire, et comment la mener

L’analyse d’impact relative à la protection des données est l’une des obligations du RGPD les plus mal calibrées en pratique. Certaines organisations en produisent pour tout, y compris des traitements banals, et se noient dans un formalisme sans valeur. D’autres n’en produisent aucune, y compris sur des traitements qui l’exigeaient clairement.

Les deux erreurs coûtent, mais pas de la même façon. La première consomme du temps ; la seconde constitue un manquement autonome, sanctionnable indépendamment de tout incident.

Ce que dit le texte

L’article 35 du RGPD impose une analyse d’impact lorsqu’un traitement, en raison de sa nature, de sa portée, de son contexte et de ses finalités, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

Le mot déterminant est élevé. Tout traitement comporte un risque ; seuls ceux dont le risque est élevé déclenchent l’obligation.

Le texte cite trois cas où l’analyse est requise en particulier :

• L’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ou affectant significativement les personnes.
• Le traitement à grande échelle de catégories particulières de données — santé, opinions, orientation sexuelle, données biométriques ou judiciaires.
• La surveillance systématique à grande échelle d’une zone accessible au public.

Ces trois cas ne sont pas exhaustifs. Ils sont des exemples, pas une liste fermée.

Les critères qui servent réellement à décider

Les lignes directrices européennes reprises par la CNIL proposent neuf critères. Un traitement qui en réunit au moins deux est présumé à risque élevé :

1. Évaluation ou scoring, y compris le profilage et la prédiction.
2. Décision automatisée produisant un effet juridique ou similairement significatif.
3. Surveillance systématique des personnes.
4. Données sensibles ou à caractère hautement personnel.
5. Traitement à grande échelle.
6. Croisement d’ensembles de données issus de sources différentes.
7. Personnes vulnérables : salariés, enfants, patients, personnes en situation de dépendance.
8. Usage innovant ou application de nouvelles technologies.
9. Exclusion du bénéfice d’un droit ou d’un contrat résultant du traitement.

Ce test à deux critères est l’outil de tri le plus opérationnel. Il se documente en quelques lignes et vous protège dans les deux sens : il justifie de faire une analyse, et il justifie de ne pas en faire.

Point souvent négligé : le critère n° 7 fait basculer beaucoup de traitements de ressources humaines. Un salarié est considéré comme une personne vulnérable au sens du RGPD, en raison du lien de subordination.

Les cas fréquents en entreprise

Sans être exhaustif, voici les traitements qui, dans nos missions, déclenchent le plus souvent l’obligation :

Les dispositifs de contrôle de l’activité des salariés. Vidéosurveillance couvrant des postes de travail, géolocalisation de véhicules, dispositifs d’analyse de la productivité. Combinaison des critères 3 et 7.

Le tri automatisé de candidatures. Critères 1, 2 et 7. Ce type de traitement relève par ailleurs de la catégorie « haut risque » de l’AI Act, avec des obligations distinctes qui s’ajoutent.

Les dispositifs biométriques de contrôle d’accès. Critères 4 et 5, avec en France un encadrement spécifique.

Les traitements de santé au travail ou de gestion des arrêts.

Les outils d’analyse comportementale sur les postes, y compris à des fins de sécurité. C’est un point délicat : un dispositif de détection légitime peut, selon sa granularité, constituer une surveillance systématique.

L’interception des flux chiffrés lorsqu’elle couvre les postes des salariés.

À l’inverse, la CNIL publie une liste de traitements courants dispensés d’analyse — gestion de la paie, tenue de la comptabilité, gestion des accès physiques classiques. Consulter cette liste avant de lancer une analyse évite du travail inutile.

Ce que l’analyse doit contenir

L’article 35, paragraphe 7, fixe quatre éléments obligatoires.

1. Une description systématique du traitement

Finalités, base légale, catégories de données et de personnes, destinataires, durées de conservation, flux et transferts, sous-traitants. C’est largement ce que contient déjà votre registre des traitements — d’où l’intérêt de le tenir à jour : sans lui, chaque analyse recommence par un travail d’archéologie.

2. Une évaluation de la nécessité et de la proportionnalité

C’est la partie la plus souvent bâclée, et pourtant la plus scrutée. Elle répond à une question simple : peut-on atteindre la même finalité de façon moins intrusive ?

Une analyse qui conclut systématiquement que le dispositif envisagé est le seul possible n’a pas été conduite sérieusement. La démonstration attendue consiste à exposer les alternatives écartées et pourquoi.

3. Une appréciation des risques pour les personnes

Attention au renversement de perspective, qui est le contresens le plus fréquent : il ne s’agit pas des risques pour l’entreprise, mais des risques pour les personnes concernées — usurpation d’identité, discrimination, atteinte à la réputation, perte de confidentialité, impossibilité d’exercer un droit.

Une organisation habituée à l’analyse de risques SSI a tendance à raisonner en termes d’impact métier. C’est l’inverse qui est demandé.

Méthodologiquement, la démarche est compatible avec EBIOS Risk Manager, à condition de bien changer le référentiel d’impact. La CNIL publie également une méthode et un outil dédiés.

4. Les mesures envisagées

Mesures techniques et organisationnelles pour traiter les risques : chiffrement, pseudonymisation, restriction des accès, durées de conservation réduites, information renforcée des personnes, procédures d’exercice des droits.

Ces mesures rejoignent celles de l’article 32 — l’analyse d’impact est le lieu où l’on démontre qu’elles sont proportionnées au risque identifié.

Qui fait quoi

Le responsable de traitement conduit l’analyse. Il ne peut pas s’en décharger sur son sous-traitant, même si celui-ci doit l’assister.

Le délégué à la protection des données, lorsqu’il existe, doit être consulté et rend un avis. Cet avis doit être tracé, y compris s’il n’est pas suivi — auquel cas la motivation du désaccord doit figurer au dossier.

Le responsable de la sécurité intervient sur l’appréciation des mesures techniques.

Et l’avis des personnes concernées ou de leurs représentants doit être recueilli « le cas échéant ». En pratique, sur un dispositif touchant les salariés, la consultation des instances représentatives est à la fois une bonne pratique et souvent une obligation au titre du droit du travail.

La consultation préalable de l’autorité

L’article 36 prévoit un cas rarement rencontré mais qu’il faut connaître : si l’analyse conclut que le risque résiduel reste élevé malgré les mesures, le responsable de traitement doit consulter l’autorité de contrôle avant de mettre en œuvre le traitement.

En pratique, cela signifie qu’une analyse qui se termine sur un risque résiduel élevé et un déploiement quand même est une position intenable. Soit vous ajoutez des mesures, soit vous renoncez, soit vous consultez.

Le calendrier

L’analyse doit être conduite avant la mise en œuvre du traitement. Une analyse produite après le déploiement documente un état de fait ; elle ne satisfait pas l’exigence, et elle a perdu tout intérêt — puisque son objet est précisément d’influencer la conception.

Elle doit aussi être réexaminée lorsque le risque évolue : changement de finalité, extension du périmètre, nouveau sous-traitant, nouvelle technologie. Une analyse de 2021 sur un dispositif enrichi depuis ne couvre plus rien.

Les erreurs qui coûtent

Confondre analyse d’impact et audit de sécurité. Le second regarde le système, la première regarde les personnes. Un dispositif techniquement irréprochable peut être disproportionné.

La produire pour tout. Une organisation qui a soixante analyses d’impact n’en a sérieusement conduit aucune.

Ne pas conclure. L’analyse doit se terminer par une décision explicite : le traitement est mis en œuvre, avec telles mesures, et tel risque résiduel est accepté par telle autorité. Sans cette conclusion, le document reste un exercice.

Oublier de la relier au reste. Registre, analyse de risques SSI, plan d’action sécurité et analyse d’impact doivent se répondre. Trois documents parallèles qui s’ignorent sont trois occasions d’incohérence en contrôle.

Sources

• RGPD, articles 35 et 36
• CNIL — analyse d’impact relative à la protection des données, méthode, outil et listes de traitements soumis ou dispensés
• Comité européen de la protection des données — lignes directrices sur l’analyse d’impact
• Règlement (UE) 2024/1689 (AI Act), pour les traitements relevant également de ce cadre

Aller plus loin

Nous conduisons ces analyses et les articulons avec l’appréciation des risques SSI dans nos missions de gouvernance, risques et conformité. Nos formations EBIOS Risk Manager et ISO/IEC 27005 Risk Manager couvrent les méthodes d’appréciation transposables.