AIPD : quand l'analyse d'impact est obligatoire, et comment la mener

L'AIPD est l'exercice le plus mal compris du RGPD. Beaucoup la traitent comme une formalité documentaire. C'est l'inverse : c'est le seul moment où l'on écrit noir sur blanc ce qu'un traitement peut faire subir aux personnes, et où l'on décide de ne pas le lancer tel quel.

Les trois cas prévus par le règlement

L'article 35.3 cite trois situations où l'analyse est de droit obligatoire.

• L'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ou affectant la personne de manière significative
• Le traitement à grande échelle de données sensibles, ou de données relatives à des condamnations et infractions
• La surveillance systématique à grande échelle d'une zone accessible au public

La liste de la CNIL, et les neuf critères

La délibération n° 2018-327 fixe la liste des types d'opérations pour lesquels une AIPD est requise en France : traitements de santé par un établissement, profilage pour des décisions d'accès à un contrat, surveillance des salariés, données de personnes vulnérables, croisements de fichiers à grande échelle, entre autres.

En dehors de cette liste, le raisonnement se fait avec les neuf critères des lignes directrices européennes. Deux critères réunis font présumer le risque élevé.

• Évaluation ou notation, y compris le scoring
• Décision automatisée avec effet juridique ou effet similaire significatif
• Surveillance systématique
• Données sensibles ou à caractère hautement personnel
• Traitement à grande échelle
• Croisement ou combinaison d'ensembles de données
• Personnes vulnérables : salariés, patients, mineurs
• Usage innovant, ou application d'une nouvelle technologie
• Exclusion du bénéfice d'un droit, d'un service ou d'un contrat

Le déroulé en cinq étapes

L'analyse n'est ni un audit ni un rapport. C'est un document de travail, révisable, qui tient en une quinzaine de pages et suit toujours la même progression.

• Décrire le traitement : finalité, données, destinataires, durées, flux, sous-traitants
• Vérifier la nécessité et la proportionnalité au regard de la finalité, c'est-à-dire se demander si l'on peut faire moins
• Identifier les risques pour les personnes : accès illégitime, modification non désirée, disparition des données, et ce que chacun entraîne concrètement
• Décider des mesures qui ramènent le risque à un niveau acceptable, et les planifier
• Recueillir l'avis du délégué à la protection des données, et, lorsque c'est pertinent, celui des personnes concernées ou de leurs représentants

Les deux derniers points sont ceux qu'on saute, et ce sont ceux que la CNIL regarde : l'article 35.2 impose de solliciter l'avis du DPO lorsqu'il en existe un, et l'article 35.9 l'avis des personnes concernées ou de leurs représentants le cas échéant.

L'outil PIA de la CNIL

La CNIL publie un logiciel libre, PIA, qui structure l'analyse et produit le rapport. Il est gratuit, s'installe en local et évite de réinventer la trame. Il ne remplace pas la décision : l'outil pose les questions, il ne tranche pas sur la base légale d'un traitement ni sur l'acceptabilité d'un risque résiduel.

Quand consulter la CNIL avant de démarrer

Si, après avoir pris toutes les mesures envisageables, le risque résiduel reste élevé, l'article 36 impose de consulter la CNIL avant de mettre en œuvre le traitement. Elle dispose de huit semaines pour répondre, délai prolongeable de six semaines. Cette consultation est rare, et le fait de devoir l'envisager est en soi un signal sur le projet.

AIPD et système d'IA : ce que le règlement européen ajoute

Déployer un système d'IA qui traite des données personnelles ne dispense d'aucune des obligations ci-dessus : l'AIPD reste due selon les mêmes critères, et l'usage innovant en est précisément un.

Le règlement (UE) 2024/1689 sur l'intelligence artificielle y ajoute, à son article 27, une analyse d'impact sur les droits fondamentaux, qui pèse sur certains déployeurs de systèmes à haut risque, notamment les organismes publics et les entités privées fournissant des services publics. Les deux analyses ne se confondent pas, mais elles se nourrissent : la description du traitement, les flux et les destinataires sont les mêmes.

Ce qu'on risque à ne pas en faire

Le défaut d'AIPD relève du plafond de dix millions d'euros ou 2 % du chiffre d'affaires mondial. Mais le risque immédiat est ailleurs : en cas d'incident, l'absence d'analyse prive de toute démonstration que le risque avait été envisagé. C'est la différence entre une entreprise qui a pris une décision et une entreprise qui n'a rien vu venir.