Analyse d’impact relative à la protection des données (AIPD) : quand et comment la mener

Pour qui

À qui s’adresse ce guide

À la personne qui, dans une PME, doit décider si un nouveau projet nécessite une analyse d’impact, et aux DPO ou consultants qui suivent des clients et cherchent une méthode reproductible. Si vous suivez plusieurs clients, le guide du DPO externalisé avec plusieurs clients explique comment rendre un avis sans endosser la décision.

À qui il ne s’adresse pas. Aux personnes qui attendent un avis juridique sur un cas précis. Vous trouverez ici les règles et une méthode pratique, pas le conseil d’un professionnel.

La scène · lundi, 9 h 10

La clinique qui voulait la reconnaissance faciale à l’entrée

La Clínica Sorriso est un cabinet dentaire de 22 salariés. Il y a un mois, son directeur a appelé Inês, la DPO externalisée de la clinique : « On va installer la reconnaissance faciale à l’entrée. Faites-nous l’analyse d’impact et signez-la, on vous fait confiance. »

Inês n’a pas signé. Elle a expliqué que l’analyse revenait à la clinique, lui a fourni un modèle et s’est engagée à rendre un avis écrit. Ce lundi matin, Sofia, la directrice administrative, ouvre le modèle pour la première fois. Elle a sur son bureau le devis du fournisseur et une réunion avec la direction dans trois semaines, mais ne sait pas par où commencer.

Nous allons mener l’analyse avec elle, étape par étape.

La Clínica Sorriso, Sofia, Inês et les autres personnages sont fictifs. Les règles, les listes et les lignes directrices citées sont réelles.

1 · Définition

Qu’est-ce qu’une AIPD ?

Une analyse d’impact relative à la protection des données (AIPD) est une analyse écrite, réalisée avant de lancer un traitement, qui répond à quatre questions : que va-t-on faire des données, a-t-on vraiment besoin de procéder ainsi, qu’est-ce qui peut mal tourner pour les personnes, et que fait-on pour l’éviter (art. 35, paragraphe 7).

Le RGPD a remplacé l’ancienne obligation de déclarer tous les traitements à l’autorité par cette analyse, réservée aux traitements à risque élevé (considérants 89 et 90). L’AIPD ne s’envoie donc pas à la CNIL. Elle reste dans l’organisme, prête à être présentée si la CNIL la demande, et ne lui est transmise que lorsque le risque ne peut pas être réduit, dans le cadre de la consultation préalable décrite plus loin.

En pratique, une AIPD bien faite évite aussi des dépenses : modifier un projet sur le papier coûte moins cher que débrancher un système déjà acheté parce que la CNIL l’a jugé illicite.

2 · Faut-il en faire une ?

Avez-vous besoin d’une AIPD ? Les trois filtres

Faites passer le traitement par les trois filtres, dans cet ordre. Dès que l’un d’eux donne une réponse positive, l’AIPD s’impose.

Filtre 1 : les trois cas prévus par le RGPD

L’AIPD est notamment obligatoire (art. 35, paragraphe 3) en cas de :

1. évaluation systématique et approfondie d’aspects personnels, fondée sur un traitement automatisé (y compris le profilage), qui débouche sur des décisions produisant des effets juridiques ou affectant la personne de manière tout aussi significative. Exemple : un système qui refuse un crédit sur la base d’un score automatique ;
2. traitement à grande échelle de catégories particulières de données (santé, biométrie, origine ethnique, entre autres) ou de données relatives aux condamnations pénales et aux infractions ;
3. surveillance systématique à grande échelle d’une zone accessible au public, comme la vidéoprotection d’un centre commercial.

Le fichier des patients ou des clients d’un médecin, d’un professionnel de santé ou d’un avocat exerçant à titre individuel n’est pas un traitement « à grande échelle » : l’AIPD ne devrait donc pas y être obligatoire (considérant 91).

Filtre 2 : la liste de la CNIL

La CNIL a publié la liste des types d’opérations de traitement pour lesquelles une AIPD est requise en France, en plus des trois cas ci-dessus. Il s’agit de la délibération n° 2018-327 du 11 octobre 2018, adoptée après avis du CEPD. Elle compte quatorze types de traitements, que l’on peut regrouper ainsi :

• Santé et génétique. Données de santé traitées par les établissements de santé ou médico-sociaux pour la prise en charge des personnes (type 1), données génétiques de personnes vulnérables (type 2), entrepôts de données de santé et registres utilisés pour la recherche (type 7). Exemple : le dossier des résidents d’un EHPAD.
• Ressources humaines et surveillance des salariés. Profilage à des fins de gestion des ressources humaines (type 3) et surveillance constante de l’activité des employés (type 4). Exemple : un logiciel qui analyse tous les courriels sortants pour repérer les fuites de données.
• Alertes et signalements. Dispositifs d’alerte dans le domaine social et sanitaire (type 5) et dispositifs d’alerte professionnelle, comme le recueil des signalements de corruption (type 6).
• Profilage et exclusion d’un contrat. Profilage pouvant conduire à exclure une personne du bénéfice d’un contrat ou à le suspendre (type 8), fichiers mutualisés de manquements contractuels, comme les impayés (type 9), profilage à partir de données provenant de sources externes, comme les courtiers en données ou la publicité ciblée (type 10). Exemple : un score d’octroi de crédit.
• Biométrie. Données biométriques servant à identifier de manière unique des personnes vulnérables (type 11). Exemple : l’accès à une cantine scolaire par reconnaissance du contour de la main.
• Action sociale. Instruction des demandes et gestion des logements sociaux (type 12), accompagnement social ou médico-social des personnes (type 13).
• Localisation. Données de localisation à large échelle (type 14). Exemple : une application mobile qui collecte la géolocalisation de ses utilisateurs.

Les regroupements et une partie des exemples sont de notre fait ; le libellé exact de chaque type, avec les exemples de la CNIL, figure dans la liste publiée sur son site (lien dans les sources). La CNIL précise que cette liste n’est pas exhaustive : un traitement qui n’y figure pas peut tout de même présenter un risque élevé.

La CNIL a aussi publié la liste inverse, prévue à l’art. 35, paragraphe 5 : les types de traitements pour lesquels une AIPD n’est pas requise (délibération n° 2019-118 du 12 septembre 2019). On y trouve douze types, par exemple la gestion du personnel des organismes de moins de 250 salariés hors profilage, la gestion des fournisseurs, le dossier des patients d’un professionnel de santé exerçant à titre individuel, ou le contrôle d’accès aux locaux et la gestion des horaires sans biométrie. Figurer sur cette liste ne dispense pas des autres obligations du RGPD, et la CNIL recommande de mener une AIPD en cas de doute.

Filtre 3 : les neuf critères européens

Si le traitement ne relève ni du filtre 1 ni du filtre 2, appliquez les neuf critères des lignes directrices européennes sur l’AIPD (WP248), reprises par le Comité européen de la protection des données (CEPD) et auxquelles la CNIL renvoie pour les traitements absents de sa liste :

1. évaluation ou notation des personnes, y compris le profilage et la prédiction ;
2. décision automatisée avec effet juridique ou effet similaire significatif ;
3. surveillance systématique des personnes ;
4. données sensibles ou à caractère hautement personnel ;
5. données traitées à grande échelle ;
6. croisement ou combinaison d’ensembles de données collectés pour des finalités différentes ;
7. données concernant des personnes vulnérables, comme les enfants, les employés, les patients ou les personnes âgées ;
8. usage innovant ou application de nouvelles solutions technologiques ou organisationnelles, comme l’« utilisation combinée, par exemple, de systèmes de reconnaissance des empreintes digitales et de reconnaissance faciale » pour mieux contrôler l’accès physique ;
9. traitements qui empêchent la personne d’exercer un droit ou de bénéficier d’un service ou d’un contrat.

La règle pratique des lignes directrices : « Dans la plupart des cas, le responsable du traitement peut considérer qu’un traitement satisfaisant à deux critères nécessite une AIPD. » Un seul critère peut suffire si le risque est manifeste.

Les salariés comptent parmi les personnes vulnérables, en raison du déséquilibre des pouvoirs avec l’employeur. C’est pourquoi presque tous les projets qui surveillent ou mesurent l’activité des salariés cumulent d’emblée deux critères.

Quelques cas passés au filtre

• Reconnaissance faciale à l’entrée du personnel de la Clínica Sorriso. Oui. En France, le règlement type de la CNIL sur la biométrie au travail impose une AIPD pour tout contrôle d’accès biométrique sur le lieu de travail (voir l’étape 2). Critères 4, 7 et 8.
• Logiciel qui enregistre l’activité des salariés sur leur ordinateur et sur internet. Probablement oui. Critères 3 et 7 ; la liste de la CNIL vise aussi la surveillance constante de l’activité des employés (type 4).
• Tri automatique des candidatures qui écarte des candidats sans intervention humaine. Oui. Art. 35, paragraphe 3, point a), et liste de la CNIL, type 3. Critères 1, 2 et 7.
• Bracelets qui transmettent à l’équipe les constantes des résidents d’un EHPAD. Oui. Liste de la CNIL, type 1. Critères 4 et 7.
• Fichier des patients d’un cabinet où exerce un seul médecin. Non obligatoire (considérant 91 ; liste des AIPD non requises de la CNIL). Critères 4 et 7, mais pas de grande échelle.
• Lettre d’information mensuelle envoyée aux clients qui l’ont demandée. Non. Aucun critère.

Ces exemples sont donnés à titre d’illustration : la décision dépend des circonstances concrètes de chaque traitement.

Si vous concluez qu’elle n’est pas nécessaire, écrivez pourquoi

Lorsqu’un traitement remplit un critère et que vous concluez à l’absence de risque élevé, consignez la justification et l’avis du DPO, comme le demandent les lignes directrices européennes. Le plus simple est de remplir la colonne consacrée à l’analyse d’impact dans le registre des activités de traitement avec « Non, parce que… » et la date.

3 · Qui fait quoi

Qui fait quoi

• Le responsable du traitement. Il veille à ce que l’AIPD soit menée et prend la décision. Il peut la confier à quelqu’un, en interne ou à l’extérieur, mais elle reste sous sa responsabilité (art. 35, paragraphe 2).
• Le DPO, s’il y en a un. Il donne son avis sur la nécessité de l’AIPD, la méthode à suivre et la conformité des conclusions au RGPD. Son avis et les décisions prises sont consignés dans l’AIPD (art. 35, paragraphe 2 ; art. 39, paragraphe 1, point c)).
• Le sous-traitant (le fournisseur du système). Il fournit les informations dont le responsable a besoin pour mener l’analyse (art. 28, paragraphe 3, point f)).
• Les personnes concernées ou leurs représentants. Leur avis sur le traitement envisagé est recueilli lorsque c’est approprié (art. 35, paragraphe 9).
• Les équipes internes (informatique, sécurité, futurs utilisateurs du système). Elles expliquent comment le système fonctionne et quels risques elles voient au quotidien.

Le directeur de la Clínica Sorriso voulait qu’Inês rédige et signe l’analyse. Selon les lignes directrices européennes, l’AIPD appartient au responsable du traitement, et l’avis du DPO n’a de valeur que s’il est indépendant. Sofia mène donc l’analyse, Inês rend son avis et la direction décide.

4 · La méthode

La méthode en six étapes

Pour un traitement comme celui de la Clínica Sorriso, comptez une semaine de travail répartie sur deux ou trois semaines, le temps que le fournisseur réponde. Pour un traitement simple, deux ou trois jours suffisent.

1. Décrivez le traitement comme à quelqu’un qui ne l’a jamais vu

Notez la finalité en une phrase, les données collectées, les personnes concernées, l’origine des données, leur lieu de stockage, qui y a accès, combien de temps elles sont conservées et quels prestataires interviennent. Si la base légale est l’intérêt légitime, précisez lequel (art. 35, paragraphe 7, point a)). Un schéma simple du parcours des données, de la caméra au serveur, vaut mieux qu’une page de texte.

Sofia envoie trois questions par écrit au fournisseur : le système conserve-t-il des photos ou seulement un modèle mathématique du visage ? Où ce modèle est-il stocké ? Qui a accès au journal des entrées ? Elle apprend ainsi que, dans la version chiffrée sur le devis, les modèles des 22 visages sont stockés sur un serveur du fournisseur, hors de la clinique.

2. Demandez-vous s’il faut vraiment procéder ainsi

Expliquez quel problème le traitement résout et pourquoi il n’existe pas de moyen moins intrusif d’y parvenir (art. 35, paragraphe 7, point b)). Vérifiez aussi la base légale, la limitation aux seules données nécessaires, la durée de conservation et la manière dont vous informerez les personnes.

Le problème de la clinique, ce sont des badges prêtés entre collègues ou perdus. Un badge associé à un code personnel réglerait presque tout. En France, une règle s’ajoute : le règlement type de la CNIL sur le contrôle d’accès biométrique sur les lieux de travail (délibération n° 2019-001 du 10 janvier 2019), adopté sur le fondement de l’art. 9, paragraphe 4, du RGPD et de la loi Informatique et Libertés. Ce texte contraignant n’autorise la biométrie que pour contrôler l’accès à des locaux que l’organisme a identifiés comme devant faire l’objet d’une restriction de circulation, ou à des appareils et applications informatiques professionnels identifiés. L’employeur doit démontrer, par écrit, pourquoi des badges, des mots de passe ou d’autres mesures ne permettent pas d’atteindre le niveau de sécurité exigé.

Pour une entrée du personnel, la clinique devra donc justifier la restriction d’accès et expliquer pourquoi le badge ne suffit pas. Quant à mesurer les pauses, si le directeur en avait l’idée, cette finalité ne figure pas parmi celles que le règlement type autorise.

3. Évaluez les risques du point de vue des personnes

Le risque qui compte ici est celui que courent les personnes dont les données sont traitées, pas celui de l’entreprise (art. 35, paragraphe 7, point c)). Pour chaque risque, demandez-vous ce qui peut arriver, avec quelle probabilité et avec quelle gravité. Trois questions aident à ne rien oublier : et si quelqu’un accédait aux données sans autorisation ? Et si elles étaient modifiées ou devenaient inexactes ? Et si elles disparaissaient ou devenaient indisponibles ?

La liste de Sofia :

• une fuite des modèles faciaux serait grave, car on ne change pas de visage comme on change de mot de passe ;
• le système pourrait servir plus tard à surveiller les horaires et les pauses, sans que personne l’ait décidé ;
• le système pourrait ne pas reconnaître quelqu’un et le laisser à la porte ;
• un salarié qui ne veut pas confier son visage au système pourrait se sentir obligé d’accepter.

4. Arrêtez les mesures qui réduisent chaque risque

Pour chaque risque, notez la mesure, qui la met en œuvre et dans quel délai (art. 35, paragraphe 7, point d)). Les mesures les plus efficaces modifient en général la conception du traitement, au lieu de simplement ajouter une couche de sécurité.

Les mesures de la clinique :

• le modèle facial est stocké sur le badge de chaque salarié et comparé uniquement dans le lecteur de la porte, sans base de données centrale ni photos. C’est d’ailleurs la solution que le règlement type de la CNIL impose par défaut : un gabarit sous la maîtrise de la personne concernée ;
• le contrat de sous-traitance conclu avec le fournisseur (art. 28) précise que le journal des entrées sert uniquement au contrôle d’accès ;
• la porte s’ouvre aussi avec le badge et un code, pour les personnes que le système ne reconnaît pas ou qui ne veulent pas utiliser leur visage, comme le règlement type le prévoit : une solution alternative, sans contrainte ni surcoût pour qui n’utilise pas la biométrie ;
• les salariés reçoivent l’information de l’art. 13 avant la mise en service, et la clinique recueille leur avis lors d’une réunion (art. 35, paragraphe 9).

5. Concluez l’AIPD par une décision signée

Une fois les mesures prises en compte, évaluez le risque résiduel. Joignez l’avis du DPO et, si la direction ne le suit pas, les raisons de ce choix. La décision finale revient à la personne qui dirige l’organisme ; elle porte son nom et la date.

Si le risque résiduel reste élevé, ne lancez pas le traitement : consultez d’abord la CNIL.

À la Clínica Sorriso, Inês confirme par écrit qu’avec le modèle stocké sur le badge et l’alternative par code, le risque n’est plus élevé. La direction approuve cette version. Si la conclusion avait été inverse, la clinique aurait dû consulter la CNIL avant de mettre le système en service.

6. Fixez la prochaine révision

L’AIPD accompagne le traitement aussi longtemps qu’il existe. Révisez-la au moins quand les risques évoluent : nouveau fournisseur, données supplémentaires, nouvelle finalité, incident (art. 35, paragraphe 11). Les lignes directrices européennes recommandent qu’elle fasse « l’objet d’un examen continu » et soit « régulièrement réévaluée », sans fixer de délai. Une révision par an, plus une à chaque changement important : c’est un rythme raisonnable.

5 · Le contenu

Ce que doit contenir l’AIPD

Servez-vous de cette liste pour vérifier que votre AIPD est complète. Les quatre premiers points sont le minimum légal ; les suivants viennent des lignes directrices européennes.

• Description. Finalité, données, personnes concernées, destinataires, durées de conservation, systèmes et prestataires (art. 35, paragraphe 7, point a)).
• Nécessité et proportionnalité. Base légale, minimisation des données, durées de conservation, information des personnes, modalités d’exercice de leurs droits (art. 35, paragraphe 7, point b)).
• Risques. Chaque risque avec sa source, sa probabilité et sa gravité pour les personnes (art. 35, paragraphe 7, point c)).
• Mesures. Mesures, garanties et procédures, avec un responsable et un délai (art. 35, paragraphe 7, point d)).
• Avis du DPO. Écrit, daté, avec la décision de la direction à son sujet.
• Avis des personnes concernées. Comment il a été recueilli, ou pourquoi ce n’était pas approprié.
• Décision. Risque résiduel, approbation avec nom et date, consultation de la CNIL le cas échéant.
• Révision. Date de la prochaine révision et ce qui la déclencherait plus tôt.

Une seule AIPD peut couvrir plusieurs opérations de traitement similaires qui présentent des risques élevés similaires (art. 35, paragraphe 1). Un réseau de cliniques équipées du même système à toutes les entrées peut mener une seule analyse pour l’ensemble.

6 · Les erreurs

Six erreurs qui rendent l’AIPD inutile

• La mener après avoir acheté le système. À ce stade, plus personne ne veut entendre que le projet aurait dû changer. La loi exige l’AIPD avant le traitement.
• Évaluer le risque pour l’entreprise. L’AIPD ne mesure ni les amendes ni l’atteinte à la réputation, mais ce qui peut arriver aux personnes.
• Escamoter la nécessité. Beaucoup d’AIPD décrivent le système puis passent directement à la sécurité, sans se demander s’il existait un moyen moins intrusif d’atteindre le même résultat.
• Recopier la documentation du fournisseur. Le fournisseur connaît son produit, pas votre contexte, vos salariés ni vos clients.
• Faire rédiger et signer l’AIPD par le DPO. Le DPO rend un avis. S’il mène lui-même l’analyse, il ne peut plus la contrôler en toute indépendance.
• L’archiver et l’oublier. Une AIPD de 2021 sur un système qui a changé depuis de fournisseur et de finalité ne décrit plus la réalité.

7 · Consultation préalable

Quand le risque ne baisse pas : la consultation préalable de la CNIL

Si l’AIPD montre que le traitement présenterait un risque élevé en l’absence de mesures prises par le responsable, et que les mesures ne suffisent pas à le réduire, vous devez consulter la CNIL avant de lancer le traitement (art. 36, paragraphe 1 ; considérant 94).

La demande se fait en ligne, par le téléservice de la CNIL « Soumettre une analyse d’impact relative à la protection des données (AIPD) à la CNIL ». Munissez-vous du numéro SIREN de votre organisme et joignez l’AIPD complète, avec les mesures prévues pour réduire le risque, en un seul fichier (PDF, Word, RTF, TXT, JSON ou MSG, 20 Mo au maximum). Vous recevez un accusé de réception automatique avec un numéro de référence, puis, sous 10 jours ouvrés, un courriel qui confirme que votre dossier relève bien de la consultation obligatoire et qu’il est complet. La page de la CNIL ne mentionne aucun frais.

Si la CNIL estime que le traitement violerait le RGPD, elle rend un avis écrit dans un délai maximal de huit semaines à compter de la réception de la demande. Pour un traitement complexe, ce délai peut être prolongé de six semaines ; la CNIL vous informe alors de la prolongation dans un délai d’un mois. Les délais sont suspendus tant que la CNIL attend des informations qu’elle a demandées (art. 36, paragraphe 2).

Prolongation comprise, la réponse peut donc prendre jusqu’à 14 semaines, hors suspensions ; la CNIL annonce elle-même un traitement de 8 à 14 semaines selon les dossiers. Prévoyez cette marge dans votre calendrier de lancement et ne démarrez pas le traitement pendant l’attente.

8 · Modèles

Modèles et outils gratuits

Inutile d’inventer un formulaire. Voici les modèles issus de sources officielles :

• CEPD, modèle d’AIPD (Word, avec une note explicative). Conçu pour servir de base commune aux autorités européennes : selon le CEPD, celles-ci l’adopteront comme modèle unique ou comme « méta-modèle » pour leurs modèles nationaux. Disponible uniquement en anglais. Il s’agit de la version 1, d’avril 2026 ; la consultation publique s’est close le 9 juin et la version définitive n’a pas encore été publiée. Son utilisation n’est pas obligatoire.
• CNIL, logiciel PIA. Logiciel libre (open source) qui guide l’AIPD pas à pas, disponible en français et dans 19 autres langues. Il suit la méthode de la CNIL.
• CNIL, guides PIA : la méthode, les modèles et les bases de connaissances. Des exemples de risques et de mesures pour nourrir l’analyse.
• Lignes directrices WP248 (version française, sur le site de la CNIL). Les neuf critères et la liste de ce que doit contenir une AIPD acceptable (annexe 2). Ce n’est pas un modèle à remplir.

Si vous êtes DPO et suivez plusieurs clients, choisissez un modèle et utilisez-le pour tous. Celui du CEPD est le choix logique, puisque les autorités européennes vont s’en servir de base.

Pulsaiq ne propose pas encore de kit pour l’AIPD. En attendant, le kit registre des activités de traitement comporte une colonne consacrée à l’analyse d’impact, point de départ pour savoir quels traitements analyser en premier.

Ce qui pourrait changer · mis à jour le 4 nov. 2026

Les listes pourraient devenir européennes. Ce n’est pas encore le droit applicable.

Le Digital Omnibus, proposé par la Commission européenne en novembre 2025 (COM(2025) 837), prévoit des listes communes à l’UE des traitements qui exigent une analyse d’impact et de ceux qui n’en exigent pas. Dans le mandat de négociation approuvé le 21 octobre 2026, le Conseil va plus loin : une liste unique pour l’UE remplacerait les listes nationales, et une liste des traitements dispensés deviendrait obligatoire (considérant 40 du mandat, document 14756/26). Le Parlement européen n’a pas encore arrêté sa position.

Ce que cela change pour vous aujourd’hui : tant qu’aucun texte définitif n’est publié au Journal officiel, ce sont les listes de la CNIL et les critères européens présentés dans ce guide qui s’appliquent. Les autres changements prévus par l’Omnibus sont détaillés dans l’article sur le Digital Omnibus.

Et l’intelligence artificielle ? Si vous utilisez un système d’IA à haut risque, l’AI Act vous impose de vous servir des informations fournies par le fournisseur pour réaliser votre AIPD (règlement (UE) 2024/1689, art. 26, paragraphe 9). Certains utilisateurs, comme les organismes publics et ceux qui recourent à l’IA pour évaluer la solvabilité, doivent en outre mener une analyse d’impact sur les droits fondamentaux (art. 27). Ces règles s’appliquent à partir du 2 décembre 2027 dans les domaines de l’annexe III. L’article sur l’AI Act explique le reste.

À imprimer

Checklist : votre AIPD est-elle prête ?

• J’ai fait passer le traitement par les trois filtres et noté le résultat, même lorsque la réponse était non.
• L’AIPD a été menée avant le lancement du traitement.
• La description indique quelles données, de qui, pour quoi faire, où elles sont stockées, qui y accède et pendant combien de temps.
• J’ai expliqué pourquoi il n’existe pas de moyen moins intrusif d’atteindre le même résultat.
• Les risques sont décrits du point de vue des personnes, avec leur probabilité et leur gravité.
• Chaque risque a une mesure, un responsable et un délai.
• Le fournisseur a fourni par écrit les informations techniques nécessaires.
• Le DPO a rendu un avis écrit, et la décision prise à son sujet est consignée.
• Les personnes concernées ou leurs représentants ont été consultés, ou la raison pour laquelle ce n’était pas approprié est écrite.
• La décision finale porte un nom et une date et indique si le risque résiduel est élevé.
• Si le risque reste élevé, la CNIL a été consultée avant le lancement.
• Une date est fixée pour la prochaine révision.

Questions courantes

Questions fréquentes

Une PME doit-elle faire des analyses d’impact ?

Uniquement pour les traitements à risque élevé, et la taille de l’entreprise n’y change rien. Une clinique de 22 personnes qui veut utiliser la reconnaissance faciale a besoin d’une AIPD ; une multinationale qui envoie une lettre d’information à ceux qui l’ont demandée n’en a pas besoin pour ce traitement.

Dois-je envoyer l’AIPD à la CNIL ?

Non. L’AIPD reste dans l’organisme. Vous ne l’envoyez que dans le cadre d’une consultation préalable, parce que le risque reste élevé, ou si la CNIL vous la demande.

Le DPO peut-il réaliser l’AIPD ?

Ce n’est pas son rôle. L’AIPD incombe au responsable du traitement, et le DPO rend un avis à son sujet (art. 35, paragraphe 2, et art. 39, paragraphe 1, point c)). Il peut fournir le modèle et suivre le travail, mais la décision doit rester celle de l’organisme et être consignée comme telle.

À quelle fréquence faut-il réviser l’AIPD ?

La loi ne fixe pas de délai. Elle impose une révision au moins lorsque les risques évoluent (art. 35, paragraphe 11), et les lignes directrices européennes demandent une réévaluation régulière. Une révision annuelle, plus une à chaque changement important, couvre les deux.

Une AIPD peut-elle couvrir plusieurs traitements ?

Oui, s’ils sont similaires et présentent des risques élevés similaires (art. 35, paragraphe 1). C’est utile quand le même système équipe plusieurs magasins, cliniques ou bureaux.

Faut-il publier l’AIPD ?

Ce n’est pas obligatoire. Les lignes directrices européennes suggèrent d’en publier au moins un résumé ou les conclusions, ce qui montre aux personnes que le risque a été pris en compte.

Puis-je déjà utiliser le modèle du CEPD ?

Oui. Le CEPD encourage les organismes à l’utiliser et précise qu’il n’est pas obligatoire. Il en est à la version 1, d’avril 2026, et la version définitive pourra comporter des modifications.

Sources officielles uniquement

Sources

Législation de l’UE et française

• Règlement (UE) 2016/679 (RGPD), articles 9, 13, 28, 35, 36 et 39 et considérants 89, 90, 91 et 94 (EUR-Lex)
• Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Légifrance)
• Règlement (UE) 2024/1689 (AI Act), articles 26 et 27 (EUR-Lex)

Autorités de contrôle et lignes directrices

• Liste des types d’opérations de traitement pour lesquelles une AIPD est requise, délibération n° 2018-327 du 11 octobre 2018
• Liste des types d’opérations de traitement pour lesquelles une AIPD n’est pas requise, délibération n° 2019-118 du 12 septembre 2019
• Délibération n° 2019-001 du 10 janvier 2019 portant règlement type relatif au contrôle d’accès par authentification biométrique sur les lieux de travail
• Le contrôle d’accès biométrique sur les lieux de travail
• Ce qu’il faut savoir sur l’AIPD
• Soumettre une AIPD à la CNIL
• Logiciel PIA
• Groupe de travail « Article 29 », lignes directrices concernant l’AIPD (WP248 rev.01), version française, modifiées et adoptées en dernier lieu le 4 octobre 2017, reprises par le CEPD
• CEPD, annonce du modèle d’AIPD, 14 avril 2026 (en anglais)
• CEPD, consultation publique sur le modèle d’AIPD, avec le modèle et la note explicative (en anglais)

Propositions en cours

• Commission européenne, proposition COM(2025) 837, Digital Omnibus
• Conseil de l’UE, mandat de négociation, document 14756/26, 22 oct. 2026 (en anglais)
• Avis conjoint 2/2026 du CEPD et du Contrôleur européen de la protection des données sur le Digital Omnibus (en anglais)

Dernière révision : 4 novembre 2026. Nous révisons ce guide chaque fois que la loi ou les lignes directrices des autorités changent.

Ce guide est une information générale sur le RGPD et ne constitue pas un conseil juridique. Pour toute décision sur un cas précis, adressez-vous à un professionnel qualifié. Les personnages et les entreprises des exemples sont fictifs.