AIPD commune : cadrer plusieurs traitements proches

Une seule AIPD peut couvrir plusieurs opérations de traitement similaires présentant des risques élevés similaires. Elle ne couvre pas automatiquement tous les établissements qui achètent le même logiciel. Pour décider du périmètre commun, comparez les finalités, les personnes, les données, les accès et les conséquences possibles ; rattachez ensuite chaque site à une version dont les mesures sont réellement applicables.

Le livrable utile est un dossier comprenant une analyse commune, des écarts locaux expliqués et une décision d’inclusion par périmètre. Une annexe peut traiter une variation limitée. Une finalité ou des risques substantiellement différents peuvent conduire à une analyse distincte, même si l’interface utilisée est identique.

Ce que permet exactement l’Art. 35(1)

L’Art. 35(1) du RGPD prévoit l’analyse avant le traitement lorsqu’il est susceptible d’engendrer un risque élevé. Sa dernière phrase autorise une analyse portant sur un ensemble d’opérations similaires présentant des risques élevés similaires. Il faut donc justifier deux rapprochements : celui des opérations et celui des risques. Le nombre de sites ou le nom du fournisseur ne remplace pas cette démonstration. RGPD, Art. 35(1).

L’analyse garde son contenu obligatoire : description des opérations et finalités, nécessité et proportionnalité, risques pour les personnes, mesures de réduction et de démonstration de conformité. Un document commun limité aux fonctions du logiciel ne remplit pas, à lui seul, ces quatre volets. Art. 35(7)(a)–(d).

Les lignes directrices WP248 rév.01 admettent une analyse commune à plusieurs responsables, à condition d’en justifier le choix et de mettre en œuvre les mesures décrites. Elles distinguent aussi l’étude d’un produit de celle de son utilisation effective. G29, WP248 rév.01, section III.A.

Cette possibilité ne dispense pas de déterminer si une AIPD est requise. Le guide général de l’analyse d’impact traite ce préalable. Ici, la question est différente : comment organiser une analyse déjà nécessaire sans recopier des conclusions qui ne correspondent pas aux usages locaux ?

Comparer des opérations, pas des organigrammes

Commencez par décrire ce que fait réellement chaque unité. Deux filiales peuvent avoir des pratiques proches ; deux équipes du même établissement peuvent réaliser des traitements très différents. La frontière juridique de la société compte pour les responsabilités, mais elle n’est pas l’unique frontière de l’analyse des risques.

Examinez notamment les opérations périphériques : export vers un tableur, impression, synchronisation avec un autre outil, accès d’un partenaire, consultation depuis un appareil partagé. Elles peuvent transformer les conséquences d’un incident sans modifier l’écran principal de l’application.

La comparaison doit porter aussi sur les personnes. Un même retard de disponibilité peut être peu gênant dans un contexte et empêcher une démarche urgente dans un autre. Une note libre peut contenir des renseignements beaucoup plus sensibles que les champs normalisés. La mention « catégories identiques » doit correspondre au contenu réel, et pas seulement à la liste de champs fournie par l’éditeur.

Enfin, comparez les garanties en place. Une authentification renforcée annoncée au niveau central ne protège pas un export envoyé ensuite par un compte partagé. Le dossier commun doit couvrir le parcours complet sur lequel repose sa conclusion.

Dossier C-04 : quatre centres, trois décisions

Cas hypothétique. Une association exploite quatre centres d’accompagnement administratif d’adultes en difficulté. Dans cet exemple, elle est l’unique responsable des traitements décrits. Le besoin d’AIPD a été identifié en amont en raison des caractéristiques du traitement et des personnes ; le chiffre de quatre centres n’est pas présenté comme un seuil légal.

Les centres A et B envisagent le même suivi : rendez-vous, démarches demandées et pièces strictement nécessaires à leur réalisation. Les dossiers restent séparés par centre, sauf intervention autorisée et tracée d’un remplaçant. C souhaite ajouter des copies locales pour travailler pendant ses coupures de réseau. D propose un nouveau suivi incluant des informations de santé pour orienter les personnes vers un accompagnement spécifique.

La réunion de cadrage aboutit à cette fiche remplie :

L’annexe envisagée pour C n’est pas une autorisation de créer les copies. Elle doit étudier leur nécessité, les alternatives et les risques propres avant toute mise en œuvre. L’exclusion de D ne signifie pas que son projet est nécessairement interdit : elle signifie que la conclusion portant sur A et B ne peut pas le justifier.

L’AIPD ne fournit pas une base légale manquante. La finalité doit disposer d’un fondement au titre de l’Art. 6(1) et, pour les données de santé de D, d’une condition applicable de l’Art. 9(2). Une appréciation positive des mesures de sécurité ne résout pas ces questions. RGPD, Art. 6(1) et 9(1)–(2).

Développer les différences qui changent la conclusion

Pour C, le simple ajout « ordinateur chiffré » serait insuffisant. Le risque de lecture après vol mérite une mesure de sécurité, mais le chiffrement ne corrige pas une pièce devenue inexacte ni une copie réutilisée après effacement dans l’application centrale.

L’annexe doit donc répondre à des questions opérationnelles : quelles démarches justifient le travail hors connexion ? Une liste limitée de rendez-vous suffit-elle au lieu de copies intégrales ? Quand une copie expire-t-elle ? Qui réconcilie les modifications ? Comment les décisions de rectification, de limitation et d’effacement sont-elles appliquées ?

Dans le dossier fictif, C retient finalement une fiche de continuité limitée aux rendez-vous du jour et aux coordonnées nécessaires au rappel. Les pièces justificatives restent dans le système central. Le mode dégradé est revu sur cette version réduite, avec accès nominatifs et rapprochement des actions avant fermeture de la fiche. Cette réduction change les opérations à examiner ; elle ne permet pas de reprendre sans lecture la conclusion de A et B.

L’évaluation doit encore considérer les effets de l’indisponibilité sur les personnes et la possibilité d’une démarche urgente. Si le dispositif réduit ne permet pas d’assurer un besoin essentiel, il faut traiter cette difficulté, pas la faire disparaître du tableau au motif que moins de données sont copiées.

Attribuer les mesures et les preuves

La responsable informatique peut déployer les rôles communs, tandis que chaque centre décide qui doit recevoir ces rôles. Ces deux actions sont nécessaires : une bonne configuration avec une mauvaise liste d’utilisateurs ne garantit pas la confidentialité.

Dans C-04, le dossier de mise en œuvre affecte les responsabilités suivantes :

• Équipe informatique : configurer la séparation des centres et produire la preuve des contrôles d’accès prévus.
• Responsable de chaque centre : vérifier les utilisateurs, les remplacements et les pratiques locales d’impression ou d’export.
• Responsable métier : confirmer que les pièces demandées restent nécessaires aux démarches couvertes.
• DPO désigné : conseiller sur l’analyse et ses limites ; ses observations sont conservées.
• Direction de l’association : décider des suites, moyens et conditions de mise en œuvre, sans transformer l’avis du DPO en transfert de responsabilité.

L’Art. 35(2) impose de demander conseil au DPO lorsqu’il a été désigné. L’Art. 24(1) laisse au responsable la charge des mesures appropriées et de leur démonstration. Le sous-traitant apporte l’assistance prévue par l’Art. 28(3)(f), compte tenu du traitement et des informations dont il dispose. RGPD, Art. 24(1), 28(3)(f) et 35(2).

Une preuve locale ne doit pas contenir inutilement les véritables dossiers des bénéficiaires. Pour démontrer les permissions, des comptes et données fictifs peuvent être utilisés ; il faut indiquer ce que le contrôle établit et ce qu’il ne permet pas de conclure sur les pratiques passées.

Plusieurs responsables : organiser le travail commun

Si A et B appartenaient à deux associations indépendantes, le document devrait identifier leurs traitements et obligations respectifs. La rédaction commune de l’AIPD ne les rendrait pas automatiquement responsables conjoints. Cette qualification dépend d’une détermination conjointe des finalités et des moyens, au sens de l’Art. 26(1). RGPD, Art. 26(1)–(3).

Un registre organisé par filiales ou organismes aide à conserver cette distinction. Le partage de documentation doit être organisé sans ouvrir les dossiers individuels entre organismes : on peut comparer les catégories, les mesures et les scénarios sur des exemples inventés.

Chaque responsable doit pouvoir expliquer pourquoi l’analyse s’applique à ses opérations. Une signature centrale ne remplace pas l’examen des différences. Si une mesure commune dépend d’un prestataire, précisez qui demande sa réalisation, qui obtient la preuve et comment une défaillance sera signalée aux autres périmètres concernés.

Inclure un nouveau site et réexaminer le socle

Conservez une liste des périmètres inclus, avec version de référence, variantes examinées, mesures effectives et réserves. Dans C-04, l’état initial peut indiquer A et B dans le périmètre étudié, C en complément d’analyse et D exclu. Évitez une couverture intitulée « tous les centres » alors que ces deux réserves subsistent.

Un nouveau site ne doit pas être ajouté par simple changement de nom. Son responsable décrit ses écarts, puis le dossier explique s’ils sont sans effet significatif, traitables par complément ou incompatibles avec le périmètre commun. Cette décision doit précéder l’usage qui nécessitait l’AIPD.

L’Art. 35(11) prévoit un examen au moins lorsque le risque change. Une modification centrale peut aussi affecter plusieurs sites à la fois : nouveau support, nouvelle règle d’accès ou enrichissement des données. La méthode de réexamen après changement de produit permet de tracer la version et les conséquences pour chaque périmètre. RGPD, Art. 35(11).

Lorsque des risques résiduels élevés imposent une consultation préalable de l’autorité, la mutualisation ne permet pas de l’éviter. Il faut traiter ce point avant la mise en œuvre concernée, conformément à l’Art. 36(1), sans présenter l’AIPD commune comme une autorisation générale.

Ce qu’il faut retenir

• Comparez les opérations et les risques, pas seulement les logiciels.
• Écrivez les inclusions, les exclusions et les variantes restant à instruire.
• Rattachez les mesures communes à des responsables et à des preuves locales.
• Réexaminez le socle quand le risque change et avant l’ajout d’un usage différent.

FAQ

Une différence de volume exige-t-elle une AIPD séparée ?

Pas automatiquement. Examinez son effet sur la portée du traitement, les scénarios et les conséquences. Une différence documentée peut rester compatible avec le périmètre commun ; un changement important peut imposer de le revoir.

Peut-on reprendre l’AIPD du fournisseur ?

Elle peut apporter des éléments techniques utiles. Elle ne détermine pas à votre place les finalités, la nécessité des données ou les conséquences de vos pratiques locales.

Une annexe locale doit-elle reprendre tout le document ?

Non si les renvois sont précis et permettent de comprendre l’ensemble applicable. Elle doit cependant traiter réellement les différences et leurs conséquences, plutôt que déclarer le site couvert sans démonstration.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.