AIPD RGPD : méthode en 7 étapes + modèle (2026)
AIPD : quand est-elle obligatoire, la méthode en 7 étapes, la liste CNIL des 14 traitements et un modèle prêt à adapter. Guide expert à jour 2026.
L’essentiel. L’AIPD (Analyse d’Impact relative à la Protection des Données) est obligatoire avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Trois cas la rendent automatique (profilage à effet juridique, données sensibles à grande échelle, surveillance systématique d’une zone publique), et la liste CNIL identifie 14 traitements concernés. La méthode tient en 7 étapes. Son absence est sanctionnée jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial (Art. 83(4) RGPD).
L’AIPD est probablement l’obligation du RGPD qui génère le plus de confusion en pratique. En plus de vingt ans de conseil en protection des données, j’ai accompagné des dizaines d’organisations dans la réalisation de leurs analyses d’impact — et le constat est toujours le même : entre le texte du règlement et la réalité opérationnelle, le fossé est considérable. La CNIL a d’ailleurs sanctionné des organismes spécifiquement pour l’absence ou l’insuffisance de leur AIPD, ce qui confirme qu’il ne s’agit pas d’une formalité accessoire.
Ce guide vous donne une méthodologie complète et opérationnelle : identification des cas obligatoires, méthode en 7 étapes, listes CNIL, modèle de trame et erreurs à éviter.
Qu’est-ce qu’une AIPD ?
L’AIPD — Analyse d’Impact relative à la Protection des Données — est un processus structuré d’évaluation des risques qu’un traitement de données personnelles fait peser sur les droits et libertés des personnes concernées. En anglais, on parle de DPIA (Data Protection Impact Assessment) ou de PIA (Privacy Impact Assessment). Les trois termes désignent exactement la même chose.
Base légale et finalité
L’AIPD est imposée par l’Art. 35(1) du RGPD. Le texte est limpide :
Lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données à caractère personnel.
Deux points essentiels ressortent de cette disposition :
- Le déclencheur est le risque élevé pour les droits et libertés, pas la nature des données en tant que telle.
- L’AIPD doit être réalisée avant le lancement du traitement. C’est une exigence temporelle absolue — une AIPD rétrospective ne satisfait pas l’Art. 35(1).
Les considérants 84 et 89 à 93 éclairent la philosophie du dispositif : remplacer l’ancien système de déclarations préalables par un mécanisme ciblé sur les traitements réellement à risque. C’est une manifestation directe du principe d’accountability (responsabilisation) qui irrigue l’ensemble du règlement.
AIPD, analyse de risques SSI et le principe de proportionnalité
Il ne faut pas confondre l’AIPD avec une analyse de risques classique de type sécurité informatique. Une analyse de risques SSI (EBIOS, ISO 27005) se concentre sur les menaces pesant sur le système d’information. L’AIPD, elle, évalue les risques pour les personnes concernées — atteinte à la vie privée, discrimination, perte financière, atteinte à la réputation, perte de contrôle sur ses données.
En pratique, les deux démarches se complètent : l’analyse SSI alimente la partie « mesures de sécurité » de l’AIPD, mais l’AIPD va bien au-delà en intégrant la nécessité, la proportionnalité et les droits des personnes.
Quand l’AIPD est-elle obligatoire ?
La réponse s’articule autour d’un critère général, de trois cas systématiques définis par le RGPD, des neuf critères du CEPD et des listes publiées par la CNIL.
Le critère général : le risque élevé
L’Art. 35(1) pose le principe : l’AIPD est obligatoire dès qu’un traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques ». Ce risque s’apprécie au regard de quatre facteurs : la nature, la portée, le contexte et les finalités du traitement. Le recours à de nouvelles technologies est un facteur aggravant explicitement mentionné — ce qui explique pourquoi les projets d’intelligence artificielle, de reconnaissance faciale ou d’objets connectés déclenchent quasi systématiquement l’obligation.
Les trois cas toujours obligatoires (Art. 35(3))
Le RGPD identifie trois situations dans lesquelles l’AIPD est automatiquement requise :
- Profilage avec effets juridiques (Art. 35(3)(a)) — Évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, dont découlent des décisions produisant des effets juridiques ou affectant significativement les personnes (voir l’article 22 RGPD sur la décision automatisée). Exemple : un scoring bancaire déterminant l’octroi d’un crédit.
- Traitement à grande échelle de données sensibles ou pénales (Art. 35(3)(b)) — Traitement à grande échelle de données sensibles au sens de l’article 9 (santé, biométrie, opinions politiques, orientation sexuelle…) ou de données pénales (Art. 10). Exemple : un hôpital traitant les dossiers médicaux de l’ensemble de ses patients.
- Surveillance systématique à grande échelle d’une zone accessible au public (Art. 35(3)©) — Exemple : un réseau de vidéosurveillance couvrant un centre-ville.
La notion de « grande échelle » exclut en principe les traitements par un praticien individuel (médecin, avocat) — le considérant 91 le précise expressément.
Les 9 critères du CEPD (lignes directrices WP248)
Le Comité européen de la protection des données (CEPD, ex-G29) a défini neuf critères dans ses lignes directrices WP248. Règle pratique : si votre traitement coche deux critères ou plus, une AIPD est requise.
- Scoring ou profilage — évaluation ou notation de personnes.
- Décision automatisée avec effet juridique — traitement aboutissant à des décisions excluant ou affectant significativement des personnes.
- Surveillance systématique — observation, suivi ou contrôle des personnes.
- Données sensibles ou hautement personnelles — données de l’Art. 9, données pénales, localisation, données financières, communications.
- Grande échelle — volume, nombre de personnes, étendue géographique, durée.
- Croisement de données — combinaison de jeux de données de sources distinctes, au-delà des attentes raisonnables.
- Personnes vulnérables — employés, enfants, patients, personnes âgées, toute personne en situation de déséquilibre.
- Usage innovant — nouvelles technologies (IA, IoT, reconnaissance faciale).
- Blocage d’un droit ou d’un accès — traitement empêchant l’exercice d’un droit ou l’accès à un service.
La liste des 14 traitements de la CNIL
Par délibération n° 2018-327 du 11 octobre 2018, la CNIL a publié une liste de 14 types de traitements pour lesquels une AIPD est systématiquement requise :
| # | Traitement |
|---|---|
| 1 | Données de santé des établissements de santé ou médico-sociaux (prise en charge) |
| 2 | Données génétiques de personnes vulnérables |
| 3 | Profils de personnes physiques à des fins de gestion RH |
| 4 | Surveillance constante de l’activité des employés |
| 5 | Gestion des alertes et signalements en matière sociale et sanitaire |
| 6 | Gestion des alertes et signalements en matière professionnelle |
| 7 | Données de santé pour un entrepôt de données ou un registre |
| 8 | Profilage pouvant exclure du bénéfice d’un contrat ou le suspendre |
| 9 | Traitements mutualisés de manquements contractuels (exclusion/suspension) |
| 10 | Profilage à partir de sources externes |
| 11 | Données biométriques d’identification de personnes vulnérables |
| 12 | Instruction des demandes et gestion des logements sociaux |
| 13 | Accompagnement social ou médico-social des personnes |
| 14 | Données de localisation à large échelle |
Dans le domaine de la santé, l’AIPD est donc quasi systématique. Les traitements RH impliquant du profilage (évaluation des performances, surveillance de l’activité) sont également concernés — un point souvent sous-estimé.
Quand l’AIPD n’est pas requise
Par délibération n° 2019-118 du 12 septembre 2019, la CNIL a publié une liste de traitements pour lesquels une AIPD n’est pas nécessaire, notamment :
- gestion courante de la paie et administration du personnel, sans profilage ni surveillance ;
- traitements d’un médecin ou d’un avocat exerçant à titre individuel (considérant 91) ;
- comptabilité, gestion des fournisseurs et des contrats.
En pratique, documentez systématiquement votre raisonnement dans le registre des traitements, même lorsque vous concluez qu’une AIPD n’est pas nécessaire : cette trace démontre votre démarche de conformité en cas de contrôle.
Comment réaliser une AIPD : la méthode en 7 étapes
La méthodologie ci-dessous reprend les exigences de l’Art. 35(7) tout en les rendant opérationnelles.
Étape 1 — Décrire le traitement
L’Art. 35(7)(a) exige « une description systématique des opérations de traitement envisagées et des finalités ». Documentez :
- les finalités — pourquoi collectez-vous ces données ?
- les catégories de données, en identifiant spécifiquement les données sensibles ;
- les catégories de personnes concernées (clients, employés, patients, mineurs…) ;
- les destinataires, y compris les sous-traitants au sens de l’article 28 RGPD ;
- les durées de conservation ;
- les flux de données, y compris les transferts hors UE ;
- la base légale retenue au titre de l’article 6 et, le cas échéant, l’intérêt légitime poursuivi.
Étape 2 — Évaluer la nécessité et la proportionnalité
L’Art. 35(7)(b) impose une évaluation de la nécessité et de la proportionnalité au regard des finalités. Vérifiez :
- La base légale est-elle solide — consentement correctement recueilli, intérêt légitime documenté ?
- Le principe de minimisation est-il respecté — ne collectez-vous que le strict nécessaire ?
- Les droits des personnes sont-ils garantis — information, accès, rectification, effacement, portabilité, opposition ?
- Les durées de conservation sont-elles justifiées, sans conservation illimitée « au cas où » ?
Cette étape distingue une AIPD sérieuse d’un exercice de façade. Si le traitement n’est pas nécessaire ou proportionné, aucune mesure de sécurité ne compensera ce défaut fondamental.
Étape 3 — Identifier et évaluer les risques
C’est le cœur technique de l’AIPD (Art. 35(7)©). L’évaluation porte sur les risques pour les personnes, pas pour l’organisation. La CNIL recommande de structurer l’analyse autour de trois événements redoutés :
- accès illégitime aux données ;
- modification non désirée des données ;
- disparition des données.
Pour chacun, évaluez la vraisemblance (probabilité compte tenu des menaces et vulnérabilités) et la gravité (impact sur les personnes : atteinte à la vie privée, discrimination, perte financière, atteinte physique). La combinaison produit une matrice de risques qui hiérarchise les mesures. Un risque de gravité maximale mais de faible vraisemblance reste un risque élevé exigeant des mesures spécifiques.
Étape 4 — Définir les mesures de traitement du risque
L’Art. 35(7)(d) demande de documenter les mesures envisagées.
Mesures techniques : chiffrement au repos et en transit, pseudonymisation, contrôles d’accès (moindre privilège), journalisation et détection d’intrusion, sauvegardes et plan de reprise.
Mesures organisationnelles : politiques de sécurité formalisées, formation du personnel, procédures de notification de violation à la CNIL, clauses contractuelles avec les sous-traitants (Art. 28), limitation stricte des accès.
Chaque mesure doit être reliée au risque qu’elle traite. L’objectif est de ramener le risque résiduel à un niveau acceptable.
Étape 5 — Documenter et valider
L’AIPD doit être formalisée et conservée comme preuve. Deux consultations sont prévues :
- Consultation du DPO (Art. 35(2)) — obligatoire lorsqu’un DPO a été désigné ; son avis doit être documenté, favorable ou non.
- Consultation des personnes concernées (Art. 35(9)) — le cas échéant, notamment pour les traitements à fort impact social.
Étape 6 — Consulter la CNIL si le risque résiduel reste élevé
L’Art. 36 impose une consultation préalable de la CNIL lorsque, malgré les mesures envisagées, le risque résiduel resterait élevé. En pratique, cette situation devrait conduire à questionner l’opportunité même du traitement. La CNIL dispose d’un délai de 8 semaines (extensible à 14) pour rendre son avis.
Étape 7 — Réviser périodiquement
L’Art. 35(11) impose de réexaminer l’AIPD « au moins quand il se produit une modification du risque ». Révisez-la lors de toute modification substantielle, après un incident, lors d’évolutions réglementaires, et a minima tous les 3 ans. Intégrez le résultat au registre des traitements.
Modèle : trame d’AIPD prête à adapter
Voici une trame minimale reprenant les rubriques attendues par l’Art. 35(7). Elle sert de point de départ à formaliser dans un document dédié.
| Rubrique | À renseigner |
|---|---|
| Identification | Nom du traitement, responsable, DPO, date, version |
| 1. Description | Finalités, données, personnes, destinataires, durées, flux, base légale |
| 2. Nécessité & proportionnalité | Justification de la base légale, minimisation, droits des personnes |
| 3. Risques | Accès illégitime / modification / disparition — vraisemblance × gravité |
| 4. Mesures | Techniques et organisationnelles, avec risque résiduel |
| 5. Avis | DPO (Art. 35(2)), personnes concernées (Art. 35(9)) |
| 6. Décision | Validation, consultation CNIL (Art. 36) si nécessaire, date de révision |
Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — juillet 2026.
Les outils pour réaliser une AIPD
L’outil PIA de la CNIL. Gratuit et open source, il guide l’utilisateur à travers les étapes et produit un rapport structuré. Bon point de départ pour une première AIPD ou une organisation aux ressources limitées. Limites : interface datée, gestion multi-AIPD peu fluide, pas d’intégration native avec un registre des traitements.
Logiciels de conformité intégrés. Lorsqu’une organisation gère plusieurs AIPD simultanément, l’intégration au reste de la conformité fait gagner un temps considérable : un logiciel RGPD permet d’industrialiser le lien entre registre des traitements, AIPD et révisions périodiques, en centralisant les preuves de conformité.
Trame Excel / Word. L’approche artisanale reste possible pour une AIPD isolée, mais le manque de structuration complique le maintien dans le temps. Les organisations qui commencent avec Excel migrent souvent vers un outil dédié dès la troisième AIPD.
AIPD et intelligence artificielle
L’essor de l’IA a rendu l’AIPD plus critique que jamais. Les systèmes d’IA impliquent presque toujours un traitement à grande échelle, du profilage ou des décisions automatisées — autant de critères déclenchant l’obligation.
Le Règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act) impose par ailleurs ses propres évaluations pour les systèmes à haut risque. Les deux obligations — AIPD au titre du RGPD et évaluation de conformité au titre de l’AI Act — ne se substituent pas l’une à l’autre : elles se complètent et doivent être menées conjointement pour un système d’IA traitant des données personnelles. La CNIL a publié des recommandations sur l’articulation entre IA et protection des données, notamment sur la base légale de l’entraînement des modèles. Pour aller plus loin : la classification des risques IA, le calendrier de l’AI Act et notre dossier AIPD et intelligence artificielle.
Erreurs fréquentes et sanctions
Les erreurs les plus courantes :
- AIPD réalisée après le lancement — la violation la plus fréquente. L’Art. 35(1) exige une analyse avant le traitement.
- AIPD trop superficielle — un document de deux pages qui décrit sans évaluer les risques ne constitue pas une AIPD conforme.
- Absence de consultation du DPO — manquement autonome à l’Art. 35(2), indépendant de la qualité de l’analyse.
- Pas de révision — une AIPD de 2018 jamais mise à jour ne protège plus l’organisation.
- Confusion risques organisation / risques personnes — l’AIPD évalue l’impact sur les individus, pas le risque business.
Le cadre des sanctions. L’Art. 83(4)(a) prévoit des amendes jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour défaut d’AIPD, AIPD non conforme ou défaut de consultation préalable (Art. 36). Lors d’un audit RGPD, l’existence, la qualité et l’actualité des AIPD font partie des points systématiquement vérifiés, et ces sanctions peuvent se cumuler avec celles prévues par le panorama des sanctions RGPD.
Ce qu’il faut retenir
- L’AIPD est obligatoire avant tout traitement à risque élevé. Deux critères CEPD cochés ou plus ⇒ AIPD requise.
- La liste CNIL (délibération n° 2018-327) identifie 14 traitements systématiquement concernés (santé, profilage RH, surveillance des employés…).
- La méthode repose sur 7 étapes, de la description du traitement à la révision périodique.
- Le défaut d’AIPD est sanctionné jusqu’à 10 M€ ou 2 % du CA mondial (Art. 83(4)).
- L’IA renforce l’importance de l’AIPD, à mener conjointement avec l’évaluation de conformité de l’AI Act.
FAQ
Quelle est la différence entre AIPD, PIA et DPIA ?
Aucune. AIPD (Analyse d’Impact relative à la Protection des Données) est le terme français du RGPD. PIA (Privacy Impact Assessment) et DPIA (Data Protection Impact Assessment) sont les formulations anglaises. Les trois désignent la même procédure imposée par l’Art. 35 du RGPD.
L’AIPD est-elle obligatoire pour toutes les entreprises ?
Non. Elle n’est requise que pour les traitements susceptibles d’engendrer un risque élevé. Une PME qui gère la paie et un fichier clients classique n’a pas à réaliser d’AIPD pour ces traitements. En revanche, un système de vidéosurveillance des employés ou un outil de scoring client la rend obligatoire. Le critère déterminant est la nature du traitement, pas la taille de l’entreprise.
Qui doit réaliser l’AIPD ?
La responsabilité incombe au responsable de traitement (Art. 35(1)). La réalisation peut être déléguée à un chef de projet, au DPO ou à un consultant externe, mais la responsabilité juridique demeure celle du responsable de traitement. Lorsqu’un DPO est désigné, son avis doit être recueilli et documenté (Art. 35(2)).
Combien de temps prend une AIPD ?
Cela dépend de la complexité. Pour un traitement simple (vidéosurveillance standard), comptez quelques jours. Pour un système d’IA traitant des données de santé à grande échelle, l’AIPD peut s’étendre sur plusieurs semaines. Le facteur le plus chronophage n’est généralement pas la rédaction, mais la collecte des informations nécessaires à la description du traitement.
Faut-il refaire l’AIPD à chaque évolution du traitement ?
Pas systématiquement, mais l’Art. 35(11) impose un réexamen dès que le risque évolue : nouvelles catégories de données, nouveaux destinataires, changement de technologie, incident de sécurité. Une révision au moins tous les 3 ans, documentée et intégrée au registre, est une bonne pratique même en l’absence de changement apparent.
Une AIPD suffit-elle pour un système d’IA ?
Non lorsque le système relève de l’AI Act. L’AIPD couvre les risques pour les personnes au titre du RGPD ; l’AI Act impose, pour les systèmes à haut risque, une évaluation de conformité distincte. Les deux démarches sont complémentaires et doivent être conduites ensemble pour un système d’IA traitant des données personnelles.