AIPD : décider, documenter et réexaminer le risque

Une AIPD sert à décider si un traitement peut être mis en œuvre dans des conditions acceptables pour les personnes. Elle doit faire apparaître les choix du projet, les risques et les mesures réellement prévues. Un document rempli après le lancement ne remplace pas l’analyse préalable exigée lorsque le traitement présente un risque élevé.

Quand l’AIPD est-elle obligatoire ?

L’Art. 35(1) du RGPD impose une analyse avant le traitement lorsqu’il est susceptible d’engendrer un risque élevé pour les droits et libertés. Le risque concerne les personnes : discrimination, surveillance, perte de confidentialité, impossibilité d’accéder à un service ou usurpation d’identité, par exemple.

L’Art. 35(3) vise notamment trois situations : une évaluation systématique et approfondie fondée sur un traitement automatisé et servant à des décisions produisant des effets juridiques ou comparables ; le traitement à grande échelle de données des Art. 9(1) ou 10 ; la surveillance systématique à grande échelle d’une zone accessible au public. Toute caméra ou tout profilage ne relève donc pas automatiquement de ces trois cas. Texte des Art. 35(1) et 35(3).

Vérifiez ensuite les listes françaises. La délibération n° 2018-327 couvre notamment les traitements de santé des établissements sanitaires ou médico-sociaux pour la prise en charge, certains profils RH et les dispositifs d’alerte professionnelle. La liste est composée de catégories précises : le seul mot « santé » ne suffit pas à qualifier votre cas. Liste CNIL des AIPD requises.

À l’inverse, la délibération n° 2019-118 dispense certains traitements strictement définis. Par exemple, l’exemption RH concerne la seule gestion du personnel d’organismes employant moins de 250 personnes, dans les conditions des textes applicables, sans profilage. Une exemption d’AIPD ne dispense d’aucune autre obligation du RGPD. Liste CNIL des AIPD non requises.

Comment utiliser les neuf critères de risque ?

Les lignes directrices WP248 rev.01 retiennent l’évaluation des personnes, la décision automatisée significative, la surveillance systématique, les données sensibles ou hautement personnelles, la grande échelle, le croisement de fichiers, les personnes vulnérables, les usages innovants et les traitements empêchant l’exercice d’un droit ou l’accès à un service ou contrat.

Deux critères conduisent généralement à réaliser une AIPD ; un seul peut suffire. Ce repère ne remplace pas l’analyse du risque élevé. Si plusieurs indices sont présents mais que vous concluez à l’absence d’obligation hors des cas imposés, documentez précisément les motifs et l’avis du DPO. WP248 rev.01, pages 9 à 14.

Conservez une fiche de qualification : traitement, personnes, périmètre, critères présents, liste CNIL applicable, décision et date. Elle évite qu’un changement de projet repose sur une conclusion devenue obsolète.

Ce que la CNIL sanctionne : l’AIPD absente

Le défaut d’AIPD n’est pas un manquement théorique. Dans la délibération SAN-2025-017 du 30 décembre 2025, la formation restreinte a prononcé une amende de 3,5 millions d’euros contre un organisme qui transmettait à un réseau social, depuis février 2018, les adresses électroniques et numéros de téléphone des membres de son programme de fidélité afin de cibler des publicités. Parmi les manquements retenus figurent l’absence de base légale valide (Art. 6), le défaut d’information (Art. 12 et 13), une sécurité insuffisante (Art. 32), des traceurs déposés sans consentement et l’absence d’AIPD (Art. 35). La CNIL relève que le traitement impliquait un volume important de données et un croisement de données, susceptibles d’engendrer un risque élevé. Communiqué de la CNIL sur la sanction SAN-2025-017.

L’enseignement est pratique : ni le caractère « courant » du ciblage publicitaire ni l’ancienneté du traitement ne dispensent d’une qualification écrite. Deux critères du WP248 (croisement de jeux de données, grande échelle) suffisaient à poser la question, et l’organisme n’avait pas conduit l’analyse. Pour replacer ce manquement dans l’échelle des sanctions, voyez le panorama des sanctions RGPD. Le bilan 2025 de la CNIL mentionne aussi la réalisation d’une AIPD parmi les manquements ayant motivé des mises en demeure dans le secteur de l’aide sociale à l’enfance : le contrôle ne vise pas que les grands acteurs du numérique. Bilan des sanctions 2025.

Trois cas de qualification résolus

Les exemples suivants sont hypothétiques ; ils montrent le raisonnement à consigner dans la fiche de qualification, pas une réponse universelle. Pour un examen article par article, voir aussi le guide de l’article 35 du RGPD.

Cas 1 : programme de fidélité avec ciblage publicitaire. Une enseigne enrichit ses fichiers clients et envoie des identifiants à une plateforme publicitaire. Aucun des trois cas de l’Art. 35(3) n’est mécaniquement rempli, et le traitement ne figure pas nécessairement sur la liste de la délibération n° 2018-327. Reste l’analyse par critères : croisement de jeux de données, volume élevé de personnes, parfois évaluation ou profilage. Deux critères sont présents : l’AIPD doit être réalisée, sauf motivation contraire solide et documentée. C’est le raisonnement que retient la CNIL dans SAN-2025-017.

Cas 2 : gestion de la paie d’une PME de 40 salariés. Le traitement relève de la gestion du personnel d’un organisme de moins de 250 personnes, sans profilage : il peut entrer dans la liste des traitements dispensés (délibération n° 2019-118), à condition de rester dans son périmètre exact. La fiche de qualification conclut à l’absence d’AIPD et cite la liste. Si l’entreprise ajoute plus tard un outil de notation des performances, la conclusion est à reprendre : le périmètre de l’exemption n’est plus respecté.

Cas 3 : un service social qui centralise des dossiers de personnes vulnérables. Données sensibles ou hautement personnelles, personnes vulnérables, éventuel croisement avec d’autres fichiers : plusieurs critères convergent, et l’accès à un service dépend du traitement. L’AIPD est requise avant la mise en œuvre. Dans un tel dossier, la question décisive n’est pas « faut-il un document ? » mais « quelles fonctions sont réellement nécessaires ? » : c’est la comparaison des solutions moins intrusives qui modifie le projet.

Les erreurs qui rendent une AIPD inutilisable

La qualifier après la décision de lancement. L’Art. 35(1) exige une analyse « avant le traitement ». Si le calendrier du projet ne permet plus de modifier le périmètre ou les mesures, l’analyse n’est qu’une formalité, et un contrôle le révélera par les dates des pièces.

Décrire des mesures sans preuve. « Chiffrement des données » ou « accès restreints » ne disent pas ce qui est en place. Indiquez le paramétrage, le périmètre concerné, la personne responsable et la date de vérification. Une mesure seulement prévue doit apparaître comme telle, avec échéance.

Confondre risque pour l’organisme et risque pour les personnes. Le préjudice d’image ou l’amende ne sont pas le critère de l’Art. 35 ; celui-ci porte sur les droits et libertés des personnes. Une fuite de coordonnées est évaluée à travers ce qu’elle permet à un tiers de faire (hameçonnage ciblé, usurpation), pas à travers le coût de gestion de crise.

Oublier le sous-traitant. Le prestataire hébergeant ou traitant les données doit fournir les informations nécessaires (Art. 28(3)(f)). Le contrat de sous-traitance doit prévoir cette assistance, faute de quoi vous manquerez de pièces au moment de l’analyse.

Traiter la base légale comme un détail. Le choix entre consentement, contrat ou intérêts légitimes conditionne la nécessité et les droits : reprenez la base légale du traitement dans l’AIPD plutôt que de la supposer acquise.

Une trame d’AIPD directement exploitable

L’Art. 35(7) impose quatre composantes : description du traitement et de ses finalités, nécessité et proportionnalité, risques pour les personnes, mesures de réponse. La trame suivante organise ces exigences sans imposer une longueur artificielle. Art. 35(7).

Une gravité élevée mérite une attention particulière, mais elle ne constitue pas à elle seule une formule universelle de classement. Décrivez aussi la vraisemblance et les effets des protections, sans confondre le risque financier de l’organisme avec celui des personnes.

Exemple hypothétique. Une plateforme envisage de rapprocher des dossiers d’accompagnement pour détecter les doubles inscriptions. L’AIPD compare le rapprochement systématique de dossiers complets à une recherche limitée sur quelques identifiants. Elle examine aussi les faux rapprochements : une personne pourrait perdre un service à cause d’une homonymie. La limitation des champs ne suffit donc pas ; une vérification humaine et une procédure de correction doivent être étudiées.

Qui participe et qui décide ?

Le responsable du traitement porte l’obligation. Il demande conseil au DPO lorsqu’il en a désigné un, et le sous-traitant doit l’aider dans les conditions de l’Art. 28(3)(f). Le DPO conseille et surveille l’exécution ; sa présence ne transfère pas la décision de l’organisme. L’avis des personnes ou de leurs représentants est recherché le cas échéant, selon l’Art. 35(9). Art. 28(3)(f), 35(2), 35(9) et 39(1)(c).

Prévoyez la consultation des personnes dans l’AIPD assez tôt pour que leurs difficultés modifient réellement le projet. Une analyse peut couvrir plusieurs traitements similaires, si les opérations et risques sont effectivement comparables.

Quand consulter la CNIL et réexaminer l’analyse ?

Lorsque le risque résiduel reste élevé malgré les mesures envisagées, la consultation préalable relève de l’Art. 36(1). La direction ne peut remplacer cette consultation par une simple acceptation interne du risque. Le dossier et la procédure sont détaillés dans le guide de l’article 36 du RGPD.

L’Art. 35(11) impose un examen si nécessaire, au moins lors d’une modification du risque. Il ne fixe pas un renouvellement uniforme tous les trois ans. La CNIL recommande un suivi régulier ; définissez des déclencheurs concrets : nouvelles données, destinataires, usages, technologies ou populations. Art. 35(11) et 36(1) ; conseils de suivi de la CNIL.

Pour rendre cette règle opérationnelle, utilisez la démarche pour réexaminer une AIPD après un changement de produit.

Ce qu’il faut retenir

• Qualifiez le risque et les listes applicables avant de lancer le traitement.
• Les neuf critères guident l’analyse ; ils ne constituent pas un simple compteur automatique.
• Reliez chaque risque à des mesures, des preuves et un responsable.
• Réexaminez l’analyse lorsque les risques changent et consultez la CNIL si le risque résiduel demeure élevé.
• L’absence d’AIPD est sanctionnée : la délibération SAN-2025-017 (3,5 M€, 30 décembre 2025) la retient, avec d’autres manquements, pour un croisement de données à des fins publicitaires.

FAQ

Un logiciel de la CNIL est-il obligatoire ?

Non. L’Art. 35(7) fixe le contenu de l’analyse, pas un outil imposé. Le support choisi doit permettre de documenter les exigences et de maintenir le dossier.

Une AIPD manquante peut-elle être faite après le lancement ?

Il faut remédier à cette situation et réévaluer la poursuite du traitement. L’analyse tardive ne fait pas disparaître un éventuel manquement à l’obligation préalable, mais elle reste nécessaire pour corriger le dispositif.

Qui signe l’AIPD et faut-il la transmettre à la CNIL ?

Le responsable du traitement décide et assume l’analyse, après avis du DPO s’il en a un. Elle n’est transmise à la CNIL que dans le cadre de la consultation préalable de l’Art. 36, lorsque le risque résiduel reste élevé ; dans les autres cas, elle est conservée pour être présentée en cas de contrôle.

Une obligation légale dispense-t-elle d’AIPD ?

Pas à elle seule. L’Art. 35(10) prévoit des conditions cumulatives, dont une analyse déjà effectuée lors de l’adoption de la base juridique et l’encadrement de l’opération par cette base, sous réserve des exigences nationales.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.