3 AIPD abandonnées avant de trouver la méthode — les 7 étapes qui bouclent une analyse d'impact en 3 semaines

1. Déterminer si l'AIPD est obligatoire

L'article 35 du RGPD impose une analyse d'impact lorsqu'un traitement, compte tenu de sa nature, de sa portée, de son contexte et de ses finalités, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques.

Le texte cite trois cas explicites : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ; le traitement à grande échelle de données sensibles ou relatives à des condamnations et infractions ; et la surveillance systématique à grande échelle d'une zone accessible au public.

En dehors de ces cas, le repère opérationnel vient des lignes directrices européennes, qui listent neuf critères : évaluation ou notation, décision automatisée à effet juridique, surveillance systématique, données sensibles ou hautement personnelles, traitement à grande échelle, croisement d'ensembles de données, données de personnes vulnérables, usage innovant d'une technologie, et traitement empêchant l'exercice d'un droit ou le bénéfice d'un service. Dès que deux critères sont réunis, une AIPD est en principe nécessaire.

La CNIL publie en complément une liste de traitements pour lesquels l'AIPD est obligatoire et une liste de ceux qui en sont dispensés. Commencez toujours par ces listes : elles répondent directement dans une bonne partie des situations et évitent une analyse de critères inutile.

Documentez aussi la réponse négative. Si vous concluez qu'aucune AIPD n'est requise, écrivez pourquoi en quelques lignes et datez. En cas de contrôle, « nous avons estimé que ce n'était pas nécessaire » sans trace écrite est une position très inconfortable.

2. Décrire le traitement de façon systématique

L'article 35 exige une description systématique des opérations et des finalités. C'est l'étape qui prend le plus de temps réel, et c'est normal : elle consiste surtout à découvrir ce que le système fait vraiment.

Six éléments doivent être établis sans ambiguïté : les finalités précises (« améliorer le service » n'est pas une finalité) ; les catégories de données réellement collectées, y compris celles que personne n'utilise mais que le formulaire demande ; les catégories de personnes concernées ; les destinataires, sous-traitants inclus ; les durées de conservation par catégorie ; et les transferts hors Union européenne, en incluant l'hébergement et les outils tiers.

Le piège récurrent : décrire le traitement tel qu'il a été conçu plutôt que tel qu'il fonctionne. L'écart est systématique — un champ ajouté par un développeur, un export mensuel vers un tableur, un accès prestataire jamais retiré. La description doit venir du terrain, pas du cahier des charges.

Comment tenir le périmètre : écrivez en une phrase ce qui est dans le traitement analysé et ce qui est hors, faites valider cette phrase, et refusez tout élargissement en cours de route. Un traitement voisin fera l'objet d'une autre AIPD. C'est la règle qui a sauvé les analyses suivantes.

3. Justifier la nécessité et la proportionnalité

Cette section évalue si le traitement est justifié au regard de sa finalité. Elle est souvent expédiée en trois lignes, alors qu'elle porte le raisonnement juridique le plus solide du document.

Quatre questions structurent l'analyse. La base légale est-elle correctement identifiée, et tient-elle ? Le principe de minimisation est-il respecté — chaque donnée collectée sert-elle effectivement la finalité ? Les durées de conservation sont-elles justifiées, ou reprises d'un modèle ? L'information des personnes et l'exercice de leurs droits sont-ils réellement possibles ?

Le test le plus utile est celui de la donnée superflue : prenez la liste de l'étape 2 et demandez, pour chaque champ, ce qui se casserait si on cessait de le collecter. Les réponses du type « c'est utile au cas où » identifient exactement les données à retirer. Cette question, à elle seule, réduit le périmètre de risque plus efficacement que la plupart des mesures techniques ajoutées ensuite.

4. Identifier les risques pour les personnes

Voici l'erreur numéro un, et elle est presque universelle dans les premières AIPD : analyser le risque pour l'entreprise — sanction, image, interruption d'activité — au lieu du risque pour les personnes concernées.

Le RGPD demande d'évaluer les risques pour les droits et libertés des personnes. Concrètement : qu'est-ce qui arrive à un client, un salarié, un patient si ces données sont divulguées, modifiées ou rendues indisponibles ? Discrimination, usurpation d'identité, perte financière, atteinte à la réputation, impossibilité d'accéder à un service, révélation d'une information sensible à l'entourage.

La méthode publiée par la CNIL structure l'exercice autour de trois événements redoutés — accès illégitime, modification non désirée, disparition de données — appliqués à chaque catégorie de données. Pour chacun, on estime la gravité pour la personne et la vraisemblance compte tenu des supports et des menaces.

Le réflexe qui recentre l'analyse : formulez chaque risque en commençant par « une personne concernée pourrait… ». Si la phrase parle de l'entreprise, le risque n'est pas à sa place dans cette section.

5. Définir les mesures et le risque résiduel

À chaque risque identifié doit correspondre une mesure, et à chaque mesure un responsable et une échéance. Une AIPD dont les mesures sont rédigées au conditionnel n'a aucune valeur en contrôle : « il conviendrait de chiffrer » signifie que ce n'est pas fait.

Les mesures se répartissent en trois familles. Les mesures juridiques : contrats de sous-traitance conformes, garanties d'encadrement des transferts, mentions d'information. Les mesures organisationnelles : habilitations, procédure de gestion des violations, sensibilisation, revue périodique des accès. Les mesures techniques : chiffrement au repos et en transit, cloisonnement, journalisation, pseudonymisation, sauvegardes testées.

Une fois les mesures posées, réévaluez gravité et vraisemblance pour obtenir le risque résiduel. C'est ce chiffre-là qui déclenche ou non l'étape 6. Dans la grande majorité des dossiers correctement traités, le résiduel redescend à un niveau acceptable.

Un point souvent négligé : les mesures techniques annoncées doivent être vérifiées, pas déclarées. Nous constatons régulièrement des AIPD mentionnant un chiffrement qui n'est pas activé, ou des sauvegardes jamais testées en restauration. Une mesure non vérifiée aggrave la situation : elle documente une protection que vous n'avez pas.

6. Consulter le DPO et, si nécessaire, la CNIL

Lorsqu'un délégué à la protection des données a été désigné, le RGPD impose de demander son avis sur l'analyse. Cet avis doit figurer dans le document, y compris s'il comporte des réserves — une AIPD qui ne mentionne aucune objection alors que le DPO en avait est un document affaibli, pas renforcé.

Il est également recommandé de recueillir, le cas échéant, l'avis des personnes concernées ou de leurs représentants. En pratique, pour un traitement portant sur les salariés, cela signifie associer les représentants du personnel.

La consultation préalable de la CNIL prévue à l'article 36 n'intervient que dans un cas : s'il subsiste un risque résiduel élevé après application des mesures. Ce n'est pas une formalité de clôture. Si vous êtes dans cette situation, la première question à se poser n'est pas « comment obtenir l'aval de la CNIL » mais « ce traitement est-il proportionné dans sa forme actuelle ». La consultation ne valide pas un traitement disproportionné ; elle expose une difficulté que vous n'avez pas su résoudre.

7. Réviser quand le traitement change

Une AIPD n'est pas un livrable de fin de projet. Elle décrit un traitement à un instant donné, et perd sa valeur dès que ce traitement évolue.

Trois déclencheurs de révision méritent d'être inscrits noir sur blanc : une évolution fonctionnelle touchant les données collectées, les finalités ou les destinataires ; un changement de sous-traitant ou d'hébergement ; un incident de sécurité révélant un risque non anticipé. Ajoutez une revue périodique — annuelle est un rythme raisonnable en PME — même sans changement apparent.

Le mécanisme qui fonctionne : rattacher la révision au processus de changement existant plutôt que d'en créer un nouveau. Une ligne « ce changement affecte-t-il un traitement couvert par une AIPD ? » dans la revue de mise en production coûte quelques secondes et attrape la quasi-totalité des cas. Les procédures autonomes de révision, elles, ne survivent jamais à la deuxième année.

Cette logique rejoint celle que nous appliquons lors d'un audit de protection des données personnelles comme à la définition du périmètre NIS2 : un référentiel qui n'est pas raccroché à un processus vivant devient faux en silence.

Les trois erreurs qui font recommencer une AIPD

Le périmètre élastique. C'est de loin la première cause d'abandon. Une phrase de périmètre validée au démarrage, et un refus ferme de l'élargir, résolvent le problème.

Le risque analysé du mauvais côté. Une analyse centrée sur le risque d'entreprise produit un document qui ressemble à une AIPD et n'en est pas une. La reformulation « une personne concernée pourrait… » sert de test immédiat.

Les mesures déclaratives. Des mesures au conditionnel, sans responsable ni échéance, transforment l'analyse en intention. Chaque mesure doit avoir un nom en face et une date.

Sur la partie technique, les équipes de D-Open font le même constat côté développement : les durées de conservation décrites dans les documents de conformité correspondent rarement à ce que fait réellement la base de données. Et nos confrères de Plug-Tech soulignent un point qui devient central : dès qu'un traitement alimente un modèle d'intelligence artificielle, le critère « usage innovant d'une technologie » est activé, ce qui rapproche mécaniquement du seuil des deux critères.

8. Questions fréquentes

Quand une AIPD est-elle obligatoire ?

L'article 35 du RGPD impose une analyse d'impact lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Le texte cite trois situations explicites : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé et produisant des effets juridiques, le traitement à grande échelle de données sensibles ou relatives à des condamnations, et la surveillance systématique à grande échelle d'une zone accessible au public. Au-delà de ces cas, les lignes directrices européennes retiennent neuf critères : dès que deux d'entre eux sont réunis, une AIPD est en principe nécessaire. La CNIL publie par ailleurs une liste de traitements pour lesquels elle est obligatoire et une liste d'exemptions.

Combien de temps prend une AIPD en PME ?

Sur un traitement au périmètre clair, comptez trois semaines de calendrier pour une charge réelle de quatre à six jours répartis entre plusieurs personnes. L'essentiel du délai n'est pas de la rédaction : c'est l'obtention d'informations exactes sur les flux de données, les durées de conservation et les sous-traitants. Les analyses qui s'éternisent sur plusieurs mois échouent presque toujours pour la même raison : un périmètre mal délimité au départ, qui grossit à chaque réunion jusqu'à devenir ingérable.

Faut-il consulter la CNIL à la fin de chaque AIPD ?

Non. La consultation préalable prévue à l'article 36 n'est requise que si, après application des mesures prévues, il subsiste un risque résiduel élevé. Dans la grande majorité des cas, les mesures ramènent le risque à un niveau acceptable et aucune consultation n'est nécessaire : l'AIPD est conservée en interne et présentée uniquement en cas de contrôle. Si vous concluez à un risque résiduel élevé, la bonne question à se poser d'abord est de savoir si le traitement est réellement proportionné — la consultation n'est pas un tampon qui valide un traitement disproportionné.

Qui doit rédiger l'AIPD dans une PME sans DPO ?

La responsabilité incombe au responsable de traitement, c'est-à-dire à l'entreprise, pas à une personne en particulier. Lorsqu'un délégué à la protection des données a été désigné, le RGPD impose de demander son avis, mais il n'est pas censé rédiger seul : son rôle est de conseiller et de vérifier. En l'absence de DPO, la configuration qui fonctionne le mieux en PME associe la personne qui connaît le métier, celle qui connaît le système d'information, et un regard externe pour la méthode. Une AIPD rédigée par une seule personne sans accès au terrain produit un document plausible et faux.

En résumé

Les sept étapes tiennent dans une progression simple : vérifier l'obligation, décrire ce qui existe vraiment, justifier ce qu'on collecte, évaluer ce que les personnes risquent, décider des mesures, faire valider, entretenir.

Si vous ne retenez que deux choses : tenez le périmètre par une phrase écrite au démarrage, et vérifiez que chaque risque parle des personnes et non de l'entreprise. Ces deux réflexes suffisent à éviter les trois quarts des AIPD qui s'enlisent.