Une entreprise qui lance un outil de recrutement automatisé doit se demander, avant son déploiement, si celui-ci expose les candidats à un risque élevé. Cette vérification peut déclencher une analyse d’impact relative à la protection des données, appelée AIPD.
Le RGPD impose cette démarche pour certains traitements de données personnelles susceptibles d’affecter les droits et libertés des personnes. Pour savoir si elle s’applique, il faut examiner les critères réglementaires, les risques concrets et les mesures prévues.
À retenir : l’AIPD devient obligatoire face au risque élevé
- Repérage précoce des traitements présentant un risque élevé
- Examen des critères CNIL et des lignes directrices européennes
- Documentation des risques, des choix et des garanties retenues
- Consultation préalable si les risques résiduels restent élevés
Quand l’analyse d’impact RGPD est-elle obligatoire ?
Cette obligation réglementaire repose sur le niveau de risque du traitement, et non sur la taille ou le secteur de l’organisation seuls. Le responsable du traitement doit l’évaluer avant le lancement du projet.
Les situations explicitement visées par le RGPD
L’article 35 du RGPD cite trois situations dans lesquelles une AIPD est généralement requise. Elles concernent l’évaluation automatisée produisant des effets importants, le traitement à grande échelle de données sensibles et la surveillance systématique d’espaces publics.
Par exemple, un dispositif qui analyse les déplacements dans un centre commercial peut relever de la surveillance à grande échelle. À l’inverse, une caméra isolée dans un espace privé ne déclenche pas automatiquement cette obligation : le contexte et les effets comptent.
Selon le RGPD, les responsables doivent aussi tenir compte des listes publiées par les autorités de contrôle. Selon la CNIL, certains traitements impliquant des personnes vulnérables, des données biométriques ou des croisements de fichiers appellent une vigilance particulière.
Les situations fréquentes à examiner :
- Profilage systématique associé à des décisions importantes
- Traitement à grande échelle de données de santé
- Surveillance régulière d’un lieu accessible au public
- Combinaison de fichiers issus de sources différentes
La règle des critères et l’évaluation du risque
La CNIL et le Comité européen de la protection des données proposent des critères pour repérer les opérations à risque. Selon les lignes directrices du CEPD, la présence de deux critères ou davantage constitue généralement un indice fort en faveur d’une AIPD.
Ce repère ne remplace pas l’analyse du contexte : un seul critère peut suffire si les conséquences potentielles sont particulièrement graves. Une jeune entreprise qui évalue automatiquement des candidatures peut ainsi devoir approfondir le risque, même si son fichier reste limité.
Les critères servent de signaux d’alerte, pas de calcul mécanique. Une fois ces signaux repérés, l’examen porte sur la manière de conduire l’étude et de réduire les risques.
| Situation examinée | Exemple de traitement | Point de vigilance |
|---|---|---|
| Données sensibles | Dossiers médicaux traités à grande échelle | Nature et volume des informations |
| Décision automatisée | Notation de candidats ou de clients | Effets juridiques ou conséquences importantes |
| Surveillance systématique | Suivi régulier d’un lieu public | Étendue et durée de la surveillance |
| Personnes vulnérables | Traitement concernant des mineurs | Capacité des personnes à protéger leurs intérêts |
Comment réaliser une AIPD conforme au RGPD
Une fois l’obligation envisagée, l’équipe doit décrire précisément le traitement et vérifier que chaque opération répond à un besoin réel. Cette démarche évite de découvrir les faiblesses après la mise en service.
Décrire le traitement et vérifier sa proportionnalité
L’article 35 demande une description des opérations et de leurs finalités, puis une évaluation de leur nécessité et de leur proportionnalité. Il faut préciser les données collectées, les personnes concernées, les destinataires, les durées de conservation et les flux concernés.
Une clinique qui souhaite organiser ses rendez-vous peut, par exemple, vérifier si elle a réellement besoin de conserver certaines informations après la consultation. Réduire les données ou leur durée de conservation peut diminuer l’exposition sans empêcher le service de fonctionner.
La démarche doit aussi identifier les risques : accès illégitime, perte, modification ou utilisation inattendue des informations. Pour chacun, l’équipe apprécie la gravité des conséquences et leur probabilité, puis prévoit des mesures adaptées.
Les principales étapes de l’analyse :
- Description des opérations et des finalités poursuivies
- Vérification de la nécessité et de la proportionnalité
- Évaluation des risques pour les personnes concernées
- Définition de mesures techniques et organisationnelles
Réduire les risques et organiser le suivi
Le chiffrement, la pseudonymisation, les accès limités et la formation des équipes peuvent réduire les risques identifiés. Le choix dépend du traitement : un fichier de santé partagé nécessite des protections adaptées à sa sensibilité et à ses destinataires.
Selon la CNIL, son outil PIA accompagne la structuration de l’analyse, sans remplacer le jugement du responsable du traitement. L’AIPD doit rester liée au projet et être réexaminée si ses finalités, son ampleur ou ses technologies évoluent.
Le tableau ci-dessous distingue les risques courants des réponses possibles. Ces mesures doivent être adaptées aux circonstances réelles et documentées dans l’analyse.
| Risque identifié | Conséquence possible | Mesure à examiner |
|---|---|---|
| Accès non autorisé | Divulgation d’informations personnelles | Contrôle des habilitations et authentification renforcée |
| Perte de données | Indisponibilité ou dommage pour les personnes | Sauvegardes et procédure de restauration |
| Collecte excessive | Exposition inutile de données | Minimisation des champs et des durées |
| Décision biaisée | Traitement défavorable d’une personne | Contrôle humain et examen des critères utilisés |
Une analyse documentée aide ainsi les équipes à arbitrer avant le déploiement. Si les risques résiduels demeurent élevés malgré les garanties prévues, l’étape suivante est la consultation préalable de l’autorité compétente.
Risques résiduels, consultation préalable et sanctions
Lorsque les mesures de protection ne ramènent pas le risque à un niveau acceptable, l’organisation ne peut pas simplement poursuivre comme prévu. Le RGPD prévoit alors une consultation préalable auprès de l’autorité de contrôle.
Quand consulter la CNIL avant le lancement ?
L’article 36 du RGPD prévoit cette consultation si l’AIPD révèle un risque élevé qui ne peut être suffisamment atténué. Le responsable du traitement doit transmettre les éléments utiles avant de commencer l’opération, afin que l’autorité puisse formuler ses recommandations.
Une plateforme qui conserve des données sensibles et les partage avec plusieurs prestataires devrait notamment réexaminer ses accès, ses contrats et ses durées de conservation. Si les risques importants persistent, l’avis de la CNIL doit être sollicité avant la mise en œuvre.
Cette exigence ne signifie pas qu’une consultation est nécessaire pour chaque AIPD. Elle s’applique lorsque l’analyse montre que les garanties envisagées ne suffisent pas à maîtriser le risque élevé.
Les conséquences d’une AIPD manquante
L’absence d’analyse alors qu’elle était requise peut entraîner des mesures correctives et des sanctions administratives. Pour certaines violations, le RGPD prévoit un plafond pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé.
Une lacune documentaire fragilise aussi la capacité de l’organisation à démontrer sa conformité lors d’un contrôle ou après un incident. À l’inverse, une AIPD suivie et actualisée rend visibles les arbitrages, les protections retenues et les risques qui restent à surveiller.
La vigilance doit donc se poursuivre après le lancement : une évolution importante du traitement peut imposer une nouvelle évaluation. La traçabilité des décisions aide alors à préserver les personnes tout en donnant aux équipes un cadre opérationnel clair.
Repères pour maintenir la conformité :
- Réexamen après toute modification substantielle du traitement
- Suivi des mesures et des risques encore présents
- Consultation préalable en présence de risques résiduels élevés
- Conservation des décisions et des justifications documentées
Source : Règlement (UE) 2016/679, articles 35, 36 et 83 ; CNIL, « L’analyse d’impact relative à la protection des données (AIPD) » ; Comité européen de la protection des données, lignes directrices relatives aux analyses d’impact.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
