Article 35 RGPD : quand et comment réaliser une AIPD

L’article 35 du RGPD impose une analyse d’impact relative à la protection des données lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Cette analyse doit précéder le traitement : elle sert à examiner sa nécessité, ses risques et les mesures à prendre avant de décider sa mise en œuvre.

Cet article explique les conditions juridiques de cette obligation. Pour organiser les étapes du travail, consultez le guide pratique de l’AIPD.

Article 35(1) et (3) : quand l’AIPD est-elle obligatoire ?

Le texte de l’Art. 35 combine une règle générale — le risque élevé — et trois situations dans lesquelles l’analyse est particulièrement requise :

Ces cas ne sont pas exhaustifs. Un traitement qui n’en relève pas peut néanmoins présenter un risque élevé au sens de l’Art. 35(1).

Il faut aussi distinguer l’AIPD des règles relatives aux décisions exclusivement automatisées. L’intervention humaine ne suffit pas, à elle seule, à écarter une AIPD ; le champ de l’Art. 35(3)(a) ne reproduit pas exactement celui de l’Art. 22(1).

Articles 35(4) et (5) : vérifier les listes CNIL

La CNIL publie une liste des opérations pour lesquelles l’AIPD est requise, adoptée par la délibération 2018-327 du 11 octobre 2018, et une liste des opérations pour lesquelles elle ne l’est pas, adoptée par la délibération 2019-118 du 12 septembre 2019. Leur page officielle de présentation donne accès aux deux textes.

Il faut lire les conditions exactes, pas seulement le nom d’un secteur. La liste des AIPD requises vise notamment le profilage à des fins RH, la surveillance constante des employés et certains profilages utilisant des sources externes. Elle ne dit pas que tout traitement utilisant une technologie nouvelle est automatiquement une catégorie autonome de sa liste.

La liste des AIPD non requises encadre, par exemple, certains traitements ordinaires de gestion du personnel d’organismes de moins de 250 personnes, sans profilage, et certains traitements de prise en charge par un professionnel de santé exerçant à titre individuel. Elle n’exonère pas toutes les activités d’une PME, d’un cabinet ou d’une pharmacie.

Exemple fictif. Une entreprise de 80 salariés gère sa paie et souhaite ajouter un outil prédisant les départs à partir de données individuelles. La conclusion concernant la paie ne se transpose pas au profilage : il faut analyser ce second traitement séparément, notamment au regard de la liste positive.

Une dispense d’AIPD ne dispense pas des autres obligations : licéité, information, sécurité, droits et registre restent à examiner.

Comment utiliser les neuf critères du G29 ?

Les lignes directrices WP248 rev.01 fournissent des critères d’appréciation : évaluation, décisions automatiques significatives, surveillance, données sensibles ou très personnelles, grande échelle, croisements, personnes vulnérables, innovation et entrave à un droit ou à un service.

Deux critères conduisent généralement à réaliser une AIPD. Ce repère n’est pas une dispense mécanique lorsqu’un seul critère est présent : le risque élevé peut subsister. Une décision motivée de ne pas réaliser l’analyse doit être documentée, avec l’avis du DPO lorsqu’il existe.

Pour le dossier de qualification, conservez une courte note indiquant le traitement, les conditions des listes examinées, les critères rencontrés et la conclusion. Une simple case « AIPD : non » ne permet pas de retrouver le raisonnement.

Article 35(7) : les quatre parties minimales

L’Art. 35(7) exige au moins :

1. La description systématique des opérations et des finalités, avec l’intérêt légitime poursuivi le cas échéant.
2. L’évaluation de la nécessité et de la proportionnalité au regard des finalités.
3. L’évaluation des risques pour les droits et libertés des personnes concernées.
4. Les mesures prévues pour traiter ces risques, incluant garanties, sécurité et éléments permettant de démontrer le respect du règlement.

Une fiche de registre qui énumère les données et le logiciel utilisé ne couvre donc pas, à elle seule, le contenu d’une AIPD. Les pertes financières de l’entreprise ne remplacent pas l’analyse des conséquences pour les personnes : discrimination, atteinte à la confidentialité, difficultés à exercer leurs droits ou exclusion injustifiée d’un service, selon le contexte.

Voici une trame de vérification proposée pour relier l’analyse aux décisions :

Cette trame complète la lecture du texte ; elle ne constitue pas un formulaire réglementaire unique.

DPO, sous-traitant et personnes concernées

L’Art. 35(2) impose au responsable de demander conseil au DPO s’il en a désigné un. L’Art. 39(1)(c) prévoit que le DPO conseille sur l’AIPD et vérifie son exécution. La décision et la responsabilité du traitement ne sont pas transférées au DPO.

Le sous-traitant apporte l’aide prévue par l’Art. 28(3)(f), selon la nature du traitement et les informations dont il dispose. Concrètement, préparez une demande précise sur les flux, les accès, la sécurité et les possibilités de suppression, plutôt que de demander uniquement une attestation commerciale de conformité.

L’Art. 35(9) prévoit, le cas échéant, l’avis des personnes concernées ou de leurs représentants, sous réserve des intérêts et de la sécurité mentionnés par le texte. La fiche de consultation des personnes dans une AIPD aide à documenter la pertinence de cette démarche et la prise en compte des réponses.

Les autres paragraphes à connaître

• Art. 35(1), dernière phrase : une même analyse peut couvrir des opérations similaires présentant des risques élevés similaires. Il faut justifier ce périmètre ; acheter le même logiciel ne prouve pas que les traitements sont identiques.
• Art. 35(6) : le mécanisme de cohérence concerne l’adoption de certaines listes par les autorités. Il ne constitue pas une formalité que chaque entreprise doit accomplir pour son AIPD.
• Art. 35(8) : les codes de conduite approuvés applicables sont dûment pris en compte dans l’évaluation.
• Art. 35(10) : la dérogation suppose notamment un traitement fondé sur l’Art. 6(1)(c) ou (e), un texte réglementant les opérations et une AIPD déjà effectuée dans le cadre de l’adoption de cette base. Une simple étude d’impact générale d’un projet de loi ne prouve pas que ces conditions sont remplies. Les États peuvent maintenir la nécessité d’une analyse préalable.

Réexamen et consultation préalable

L’Art. 35(11) impose un examen si nécessaire, au moins lorsque le risque change. Un nouvel usage, un changement d’échelle ou une modification des accès peut justifier cette reprise. Le texte ne fixe pas une échéance universelle de trois ans.

Si les mesures ne permettent pas de ramener le risque résiduel sous le niveau élevé, examinez la consultation préalable prévue par l’article 36. Elle ne doit pas être présentée comme une certification ou une validation générale du projet. Le délai prévu par l’Art. 36(2) pour l’avis de l’autorité est de huit semaines, prolongeable de six semaines selon la complexité, avec possibilité de suspension pour obtenir les informations demandées.

Sanctions : ne pas confondre plafond et résultat automatique

L’Art. 83(4)(a) prévoit pour ces obligations un plafond de 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.

La décision SAN-2022-020 du 10 novembre 2022, points 79 à 87, retient un manquement à l’Art. 35. Des analyses réalisées pendant la procédure ne remplaçaient pas l’analyse préalable requise. La sanction globale de 800 000 euros couvrait plusieurs obligations ; elle n’était pas une amende isolée pour absence d’AIPD.

Si l’analyse manque alors que le traitement fonctionne déjà, il faut corriger la situation et examiner immédiatement les risques et la licéité du maintien du traitement. La réaliser maintenant ne fait pas disparaître rétroactivement l’absence d’analyse préalable. L’article 25 sur la conception protectrice explique pourquoi cette réflexion doit entrer dans le projet dès son lancement.

Ce qu’il faut retenir

• Le risque élevé et les conditions des textes déclenchent l’AIPD avant le traitement.
• L’Art. 35(3)(a) ne se limite pas aux décisions exclusivement automatisées.
• Appliquez les listes CNIL dans leur périmètre exact, puis documentez l’analyse du risque.
• Description, proportionnalité, risques pour les personnes et mesures sont les quatre composantes minimales.
• Le responsable consulte le DPO, réexamine l’analyse lorsque nécessaire et saisit l’autorité lorsque les conditions de l’Art. 36 sont réunies.

FAQ

Toute donnée de santé impose-t-elle une AIPD ?

Pas automatiquement sur ce seul critère. Il faut examiner le traitement, son échelle, les listes applicables et le risque élevé ; certaines prises en charge individuelles entrent dans une liste de dispense strictement encadrée.

Un seul critère de risque peut-il suffire ?

Oui. Le repère des deux critères ne remplace pas l’appréciation du risque élevé et les cas obligatoires prévus par les textes.

Faut-il transmettre toutes les AIPD à la CNIL ?

Non. Il faut notamment la consulter en cas de risque résiduel élevé, et respecter les éventuelles exigences nationales particulières. La réalisation interne d’une AIPD n’entraîne pas, à elle seule, un envoi systématique.

L’AIPD doit-elle être renouvelée tous les trois ans ?

L’Art. 35(11) prévoit un réexamen si nécessaire, au moins lors d’une modification du risque. Une échéance interne peut organiser le suivi, mais ne doit pas retarder une révision devenue nécessaire.

Pour suivre les décisions et obligations RGPD, inscrivez-vous à la newsletter.

Thiébaut Devergranne, Docteur en droit privé (Paris II), plus de 20 ans d’expérience en droit des nouvelles technologies. Fondateur de donneespersonnelles.fr et de Legiscope.