Analyse d'impact (AIPD)
L'étude obligatoire, avant tout traitement à risque élevé, qui décrit le traitement, évalue sa nécessité et les risques pour les personnes, et fixe les mesures pour les réduire.
Définition
L'analyse d'impact relative à la protection des données (AIPD, ou DPIA en anglais) est imposée par l'article 35 du RGPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes : profilage, surveillance systématique, données sensibles à grande échelle, nouvelles technologies. La CNIL publie une liste des traitements pour lesquels elle est obligatoire.
Elle comporte une description du traitement et de ses finalités, une évaluation de sa nécessité et de sa proportionnalité, une appréciation des risques pour les personnes et les mesures envisagées pour y faire face. Si le risque résiduel reste élevé, la CNIL doit être consultée avant la mise en œuvre.
Pourquoi c'est important
L'AIPD est la pièce maîtresse de l'accountability : c'est elle que la CNIL demande en premier lors d'un contrôle sur un traitement innovant (vidéosurveillance augmentée, scoring, IA). Son absence est une infraction autonome, même si le traitement s'avère finalement conforme.
En pratique
- Passer chaque nouveau projet au crible des neuf critères du CEPD ; deux critères réunis déclenchent l'AIPD
- Utiliser l'outil PIA de la CNIL ou une trame équivalente
- Associer le DPO, la DSI, le métier et, si possible, un panel de personnes concernées
- Documenter les mesures retenues et leur mise en œuvre
- Réviser l'analyse à chaque évolution significative du traitement
Textes de référence
- RGPD, articles 35 et 36
- Lignes directrices du G29/CEPD sur l'analyse d'impact (WP248)
- Délibérations CNIL n° 2018-326 et 2018-327 (listes des traitements soumis ou dispensés d'AIPD)
