Glossaire · Glossaire · Conformité RGPD
Analyse d'impact relative à la protection des données (AIPD)
Équipe Anonimatum
En bref
L'AIPD est l'analyse que le responsable de traitement doit mener avant un traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes : décrire le traitement, vérifier sa nécessité, évaluer les risques, fixer les mesures.
L'analyse d'impact relative à la protection des données (AIPD, ou DPIA en anglais) est prévue par l'article 35 du RGPD. Elle ne concerne pas tous les traitements, mais ceux qui, par leur nature, leur portée, leur contexte ou leurs finalités, peuvent affecter sérieusement les personnes : vidéoprotection à grande échelle, profilage automatisé, grands volumes de données de santé ou technologies nouvelles comme l'IA.
Elle se mène avant la mise en œuvre, se documente et se réexamine lorsque le contexte change. Bien conduite, c'est un outil de conception : elle oblige à se demander si toutes les données sont nécessaires et si elles pourraient être anonymisées ou pseudonymisées.
Quand l'AIPD est obligatoire
L'article 35.1 du RGPD impose une AIPD lorsque le traitement est susceptible d'engendrer un risque élevé. L'article 35.3 cite trois cas où elle est toujours requise :
- L'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ou similaires.
- Le traitement à grande échelle de catégories particulières de données (article 9) ou de données relatives aux condamnations pénales et infractions (article 10).
- La surveillance systématique à grande échelle d'une zone accessible au public.
Au-delà, les lignes directrices du G29 (WP248 rév.01), reprises par le Comité européen de la protection des données, retiennent neuf critères : évaluation ou notation, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, usage innovant et exclusion du bénéfice d'un droit. En règle générale, un traitement qui en remplit au moins deux doit faire l'objet d'une AIPD.
La liste de la CNIL
En application de l'article 35.4, la CNIL a adopté en 2018 une liste de quatorze types d'opérations de traitement pour lesquelles une AIPD est requise. Cette liste n'est pas exhaustive : un traitement qui n'y figure pas peut tout de même nécessiter une AIPD au regard des neuf critères. La CNIL publie aussi des guides méthodologiques et met à disposition un logiciel gratuit, PIA, pour conduire l'analyse.
Ce que doit contenir l'AIPD
| Élément | En pratique |
|---|---|
| Description systématique du traitement et de ses finalités | Flux de données, systèmes, sous-traitants, durées de conservation |
| Nécessité et proportionnalité | Pourquoi ces données et pas moins ; base légale |
| Évaluation des risques pour les droits et libertés | Vraisemblance et gravité d'un accès illégitime, d'une réidentification, d'une discrimination |
| Mesures envisagées pour faire face aux risques | Minimisation, pseudonymisation, anonymisation, chiffrement, contrôle d'accès, formation |
Le responsable recueille l'avis du délégué à la protection des données (article 35.2). Si le risque résiduel reste élevé malgré les mesures, il doit consulter la CNIL avant de mettre en œuvre le traitement (article 36). L'absence d'AIPD lorsqu'elle est obligatoire peut être sanctionnée au titre de l'article 83.4 du RGPD.
Anonymisation et pseudonymisation comme mesures
Peu de mesures réduisent autant le risque que l'arrêt du traitement de données identifiantes. Si une analyse peut se faire sur des données réellement anonymes, celles-ci sortent du champ du RGPD (considérant 26). Attention : l'anonymisation elle-même est un traitement de données personnelles et doit être évaluée, risque de réidentification compris.
Lorsqu'il faut garder le lien entre enregistrements, la pseudonymisation est la mesure classique, citée aux articles 25 et 32. Les données restent personnelles : l'AIPD doit préciser qui détient la table de correspondance et comment elle est protégée. Voir aussi notre article sur l'AIPD d'un projet d'anonymisation.
La place d'Anonimatum
Anonimatum permet d'appliquer ces mesures aux documents : caviardage irréversible ou pseudonymisation par remplacements cohérents, avec des tables de correspondance chiffrées. Pour l'AIPD de l'outil lui-même, ses IA s'exécutent sur des serveurs dans l'Union européenne sans envoyer le texte à des API externes de modèles de langage, et Politeia Soft détient la certification ENS espagnole (catégorie MOYENNE) couvrant Anonimatum. Détails sur la page sécurité.
Questions fréquentes
Qui réalise l'AIPD ?
Le responsable de traitement. Il peut se faire aider par un sous-traitant ou un conseil, mais reste responsable et doit recueillir l'avis du DPO.
Faut-il la refaire ?
Elle doit être réexaminée quand le risque évolue : nouvelles sources de données, nouvelles finalités ou technologies (article 35.11).
Anonymiser dispense-t-il d'AIPD ?
Cela peut être le cas pour l'usage ultérieur de données vraiment anonymes, mais le processus d'anonymisation traite des données personnelles et doit être évalué.
L'AIPD doit-elle être publiée ?
Le RGPD ne l'impose pas, même si la publication d'un résumé peut renforcer la confiance.
Passez des mesures de l'AIPD à la pratique
Consultez les offres et commencez à anonymiser ou pseudonymiser vos documents avec une IA hébergée dans l'UE et une relecture humaine.