Analyse d'impact RGPD (AIPD) : Quand et comment la réaliser pour votre PME

L’analyse d’impact RGPD (AIPD) est une étape cruciale pour toute entreprise manipulant des données personnelles. Pourtant, beaucoup de PME françaises ignorent encore quand et comment la réaliser. En 2023, la CNIL a infligé plus de 35 millions d’euros d’amendes pour non-respect du RGPD, dont une partie concernait l’absence d’AIPD. Vous voulez éviter les sanctions et protéger vos données ? Cet article vous explique tout : quand déclencher une AIPD, comment la mener étape par étape, et pourquoi les PME ont tout intérêt à s’y conformer.

Chez MyISI, nous accompagnons les entreprises dans leur conformité RGPD, y compris la réalisation d’AIPD. Découvrez nos services de conformité RGPD pour sécuriser vos traitements de données.

---

Qu’est-ce qu’une analyse d’impact RGPD (AIPD) ?

L’Analyse d’Impact relative à la Protection des Données (AIPD), ou Data Protection Impact Assessment (DPIA) en anglais, est une évaluation préalable des risques liés à un traitement de données personnelles. Son objectif ? Identifier les menaces potentielles pour les droits et libertés des personnes concernées et proposer des mesures pour les atténuer.

Pourquoi l’AIPD est-elle obligatoire ?

Le Règlement Général sur la Protection des Données (RGPD), en vigueur depuis mai 2018, impose aux organisations de réaliser une AIPD dans certains cas. L’article 35 du RGPD précise que cette analyse est obligatoire lorsque :

• Un traitement de données présente un risque élevé pour les droits et libertés des personnes.
• Le traitement est systématique et à grande échelle (ex : profilage, surveillance).
• Les données sont sensibles (santé, origine ethnique, opinions politiques, etc.).

En France, la CNIL (Commission Nationale de l’Informatique et des Libertés) est l’autorité de référence pour le RGPD. Elle publie des lignes directrices pour aider les entreprises à déterminer si une AIPD est nécessaire.

AIPD vs. Registre des traitements : quelle différence ?

Beaucoup de PME confondent AIPD et registre des traitements. Pourtant, ces deux outils ont des finalités différentes :

Pour aller plus loin, consultez notre guide sur la tenue du registre des traitements RGPD.

---

Quand devez-vous réaliser une AIPD ?

Toutes les PME ne sont pas concernées par l’AIPD. Voici les 3 cas principaux où elle devient obligatoire :

1. Traitements présentant un « risque élevé » pour les personnes

La CNIL considère qu’un traitement présente un risque élevé s’il remplit au moins deux des critères suivants :

• Évaluation ou notation (ex : scoring bancaire, évaluation des performances des employés).
• Décision automatisée avec effet juridique ou similaire (ex : refus de crédit, embauche automatisée).
• Surveillance systématique (ex : vidéosurveillance, géolocalisation des employés).
• Données sensibles (santé, origine ethnique, opinions politiques, orientation sexuelle, etc.).
• Données à grande échelle (ex : fichiers clients de plus de 5 000 personnes).
• Croissement de données (ex : fusion de bases de données clients et fournisseurs).
• Personnes vulnérables (ex : enfants, patients, employés en situation de dépendance).
• Utilisation innovante (ex : reconnaissance faciale, intelligence artificielle).

💡 Exemple concret pour une PME : Une entreprise de e-commerce qui utilise un algorithme de recommandation basé sur l’historique d’achat et la localisation de ses clients doit réaliser une AIPD, car elle combine profilage automatisé et données à grande échelle.

2. Traitements listés par la CNIL comme « systématiquement soumis à AIPD »

La CNIL publie une liste des traitements nécessitant toujours une AIPD. En voici quelques exemples :

• Gestion des ressources humaines : évaluation des performances des employés, surveillance du temps de travail.
• Santé : dossiers médicaux électroniques, télémédecine.
• Sécurité : vidéosurveillance dans les lieux publics, contrôle d’accès biométrique.
• Marketing : profilage pour le ciblage publicitaire, scoring de solvabilité.
• Technologies émergentes : reconnaissance faciale, objets connectés (IoT), intelligence artificielle.

🔍 Cas pratique : Une PME utilisant un système de badgeage biométrique pour contrôler les accès à ses locaux doit impérativement réaliser une AIPD, car ce traitement est explicitement mentionné par la CNIL.

3. Traitements modifiant significativement un processus existant

Même si votre traitement initial ne nécessitait pas d’AIPD, une modification majeure peut la rendre obligatoire. Par exemple :

• Changement de finalité : utiliser des données clients initialement collectées pour du marketing pour du profilage.
• Ajout de nouvelles données : croiser une base de données clients avec des données de géolocalisation.
• Nouvelle technologie : passer d’un système de gestion manuelle à une solution automatisée avec IA.
• Extension géographique : traiter des données de résidents européens alors que vous opériez uniquement en France.

⚠️ Attention : La CNIL peut exiger une AIPD a posteriori si elle estime qu’un traitement présente un risque élevé, même si vous pensiez en être exempté.

---

Comment réaliser une AIPD étape par étape ?

Maintenant que vous savez quand réaliser une AIPD, voyons comment la mener à bien. Voici une méthodologie en 9 étapes, inspirée des recommandations de la CNIL et adaptée aux PME.

Étape 1 : Désigner un pilote pour l’AIPD

L’AIPD doit être menée par une personne compétente, idéalement :

• Le Délégué à la Protection des Données (DPO) si votre entreprise en a un.
• Un responsable RGPD ou un membre de l’équipe IT.
• Un prestataire externe spécialisé, comme MyISI, si vous manquez de ressources en interne.

💡 Pourquoi externaliser ? Les PME ont souvent des équipes réduites et peu de temps à consacrer à la conformité. Faire appel à un expert permet de gagner du temps et de bénéficier d’un regard neuf sur vos processus.

Étape 2 : Décrire le traitement concerné

Avant d’évaluer les risques, vous devez documenter précisément le traitement de données concerné. Voici les éléments à inclure :

• Finalité du traitement : Pourquoi collectez-vous ces données ? (ex : gestion des clients, recrutement, marketing).
• Catégories de données : Quels types de données sont traités ? (ex : nom, adresse, données de santé).
• Personnes concernées : Qui sont les personnes dont les données sont traitées ? (ex : clients, employés, prospects).
• Base légale : Quelle est la base juridique du traitement ? (ex : consentement, contrat, intérêt légitime).
• Durée de conservation : Combien de temps les données sont-elles conservées ?
• Acteurs impliqués : Qui traite les données ? (ex : prestataires, sous-traitants).
• Flux de données : Comment les données circulent-elles ? (ex : collecte via un site web, transfert vers un cloud).

📌 Outil pratique : Utilisez un modèle de fiche de traitement pour structurer ces informations. La CNIL propose un modèle téléchargeable.

Étape 3 : Évaluer la nécessité et la proportionnalité du traitement

Cette étape consiste à vérifier que le traitement est nécessaire et proportionné à sa finalité. Posez-vous les questions suivantes :

• Le traitement est-il indispensable pour atteindre l’objectif fixé ?
• Existe-t-il une alternative moins intrusive ? (ex : utiliser des données anonymisées plutôt que nominatives).
• Les données collectées sont-elles strictement nécessaires ? (ex : avez-vous vraiment besoin de la date de naissance pour un abonnement à une newsletter ?).
• La durée de conservation est-elle justifiée ?

🔎 Exemple : Une PME souhaite mettre en place un système de reconnaissance faciale pour contrôler l’accès à ses locaux. L’AIPD devra démontrer que cette solution est strictement nécessaire (ex : locaux sensibles) et qu’aucune alternative moins intrusive (badge, code) ne peut être utilisée.

Étape 4 : Identifier et évaluer les risques

L’objectif ici est de lister les risques pour les droits et libertés des personnes concernées, puis de les évaluer en fonction de leur probabilité et de leur gravité.

Comment identifier les risques ?

Voici quelques risques courants à considérer :

• Accès non autorisé aux données (ex : piratage, fuite de données).
• Utilisation détournée des données (ex : revente à des tiers sans consentement).
• Perte ou destruction des données (ex : panne technique, erreur humaine).
• Atteinte à la vie privée (ex : surveillance excessive, profilage intrusif).
• Discrimination (ex : algorithme de recrutement biaisé).
• Non-respect des droits des personnes (ex : impossibilité d’exercer son droit d’accès ou de suppression).

Comment évaluer les risques ?

Pour chaque risque identifié, attribuez une note (ex : de 1 à 5) pour :

• Probabilité : Quelle est la chance que ce risque se matérialise ?
• Gravité : Quel serait l’impact sur les personnes concernées ?

📊 Exemple d’évaluation :

Un score élevé (ex : > 10) indique un risque prioritaire à traiter.

Étape 5 : Identifier les mesures pour atténuer les risques

Pour chaque risque identifié, proposez des mesures correctives pour le réduire. Voici quelques exemples :

💡 Bon à savoir : La CNIL recommande d’appliquer le principe de protection des données dès la conception (Privacy by Design) et par défaut (Privacy by Default). Cela signifie que la protection des données doit être intégrée dès la conception d’un projet, et non ajoutée a posteriori.

Étape 6 : Documenter l’AIPD

L’AIPD doit être formalisée dans un document qui servira de preuve en cas de contrôle de la CNIL. Voici les éléments à inclure :

Description du traitement (cf. étape 2).

Évaluation de la nécessité et de la proportionnalité (cf. étape 3).

Analyse des risques (cf. étape 4).

Mesures correctives proposées (cf. étape 5).

Avis du DPO (si applicable).

Décision finale : Le traitement peut-il être mis en œuvre ? Sous quelles conditions ?

📄 Modèle d’AIPD : La CNIL propose un modèle de document AIPD que vous pouvez adapter.

Étape 7 : Consulter le DPO ou un expert

Si votre entreprise dispose d’un Délégué à la Protection des Données (DPO), celui-ci doit valider l’AIPD avant sa mise en œuvre. Son rôle est de :

• Vérifier que l’analyse est complète et conforme au RGPD.
• S’assurer que les mesures correctives sont suffisantes.
• Proposer des améliorations si nécessaire.

🔍 Cas des PME sans DPO : Si vous n’avez pas de DPO en interne, vous pouvez faire appel à un prestataire externe, comme MyISI, pour auditer votre AIPD.

Étape 8 : Mettre en œuvre les mesures correctives

Une fois l’AIPD validée, il est temps de passer à l’action ! Voici comment procéder :

Prioriser les mesures en fonction des risques identifiés.

Planifier leur mise en œuvre (ex : calendrier, responsables, budget).

Former les équipes concernées (ex : employés manipulant des données sensibles).

Documenter les actions réalisées (ex : preuves de formation, captures d’écran des paramètres de sécurité).

⚠️ Attention : Une AIPD n’est pas un document figé. Elle doit être réévaluée régulièrement, notamment en cas de :

• Changement dans le traitement de données.
• Nouvelle réglementation.
• Incident de sécurité.

Étape 9 : Conserver et mettre à jour l’AIPD

L’AIPD doit être conservée pendant toute la durée du traitement et mise à jour si nécessaire. Voici quelques bonnes pratiques :

• Archiver les versions successives de l’AIPD.
• Noter les dates de révision et les modifications apportées.
• Conserver les preuves des mesures mises en œuvre (ex : logs de sécurité, contrats avec les sous-traitants).

📅 Fréquence de révision : La CNIL recommande de réévaluer l’AIPD au moins tous les 3 ans, ou plus fréquemment en cas de changement majeur.

---

Quels sont les risques en cas d’absence d’AIPD ?

Ne pas réaliser une AIPD lorsque celle-ci est obligatoire expose votre entreprise à des sanctions financières et juridiques, mais aussi à des risques réputationnels. Voici ce à quoi vous vous expose