AIPD : l'analyse d'impact du RGPD

L'AIPD (analyse d'impact relative à la protection des données, appelée DPIA en anglais et souvent PIA) est l'analyse de risques que le RGPD impose avant de mettre en œuvre un traitement de données personnelles susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Elle ressemble à une analyse de risques cyber, avec une différence de point de vue décisive : on évalue les risques pour les personnes dont on traite les données, pas pour l'organisation. Ce chapitre explique quand l'AIPD est obligatoire, ce qu'elle contient, comment la CNIL propose d'évaluer les risques, et comment elle s'articule avec la gestion des violations de données, une question posée à l'E7 en 2025.

Deux points de vue sur le même système

Les deux se nourrissent : une fuite de résultats d'analyses est un événement redouté pour Rhône Analyses (sanction, image) et un risque grave pour chaque patient (diagnostic révélé). Les mesures de sécurité sont souvent les mêmes ; l'AIPD ajoute des questions que l'analyse cyber ne pose pas, comme la nécessité de collecter chaque donnée ou l'information des personnes.

Ce que le RGPD exige en matière de sécurité

Quatre articles du RGPD structurent le sujet :

• Article 25, protection des données dès la conception et par défaut : un développeur SLAM intègre la protection des données dès la conception de l'application (minimisation, durées de conservation, réglages protecteurs par défaut).
• Article 32, sécurité du traitement : des mesures techniques et organisationnelles adaptées au risque, par exemple la pseudonymisation et le chiffrement, la capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la capacité à rétablir les données après un incident, et des tests réguliers de l'efficacité des mesures. C'est l'analyse de risques qui dit ce qui est « adapté ».
• Article 35, AIPD, objet de ce chapitre.
• Articles 33 et 34, violations de données : notification à la CNIL, communication aux personnes, documentation.

Le cours Droit informatique et RGPD et le chapitre Données personnelles, CNIL et numérique au travail du cours de droit de la CEJM détaillent les principes et les droits des personnes.

Quand l'AIPD est-elle obligatoire ?

L'article 35 impose une AIPD quand un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Trois cas sont cités par le règlement lui-même : l'évaluation systématique et approfondie d'aspects personnels (profilage) qui fonde des décisions produisant des effets juridiques ; le traitement à grande échelle de données sensibles (santé, opinions, biométrie…) ou de données relatives aux condamnations ; la surveillance systématique à grande échelle d'une zone accessible au public.

Pour les autres cas, deux outils aident à décider :

• La liste de la CNIL : quatorze types de traitements pour lesquels l'AIPD est obligatoire, par exemple les traitements de données de santé mis en œuvre par les établissements de santé pour la prise en charge des patients, la surveillance constante de l'activité des salariés ou le traitement à grande échelle de données de localisation.
• Les neuf critères des lignes directrices européennes : un traitement qui en remplit au moins deux doit en principe faire l'objet d'une AIPD.

Pour le portail MonRésultat : données de santé (sensibles), grande échelle (des milliers de patients), personnes vulnérables (patients). Trois critères sont remplis : l'AIPD est obligatoire.

Ce que contient une AIPD

L'article 35 fixe quatre éléments minimum, que reprend la méthode de la CNIL :

1. La description du traitement : finalités, données, personnes concernées, destinataires, durées de conservation, biens supports (applications, serveurs, sous-traitants).
2. L'évaluation de la nécessité et de la proportionnalité : chaque donnée est-elle nécessaire à la finalité ? La base légale est-elle valable ? Les personnes sont-elles informées ? Peuvent-elles exercer leurs droits ? Les durées de conservation sont-elles justifiées ?
3. L'appréciation des risques pour les droits et libertés des personnes.
4. Les mesures envisagées pour traiter ces risques, et la démonstration de la conformité.

Pour l'appréciation des risques, la CNIL raisonne sur trois événements redoutés, qui correspondent aux critères de confidentialité, d'intégrité et de disponibilité vus du côté des personnes :

Chaque risque est estimé en gravité (l'ampleur des conséquences pour les personnes) et en vraisemblance, sur quatre niveaux : négligeable, limitée, importante, maximale. La CNIL met à disposition un logiciel gratuit et libre, l'outil PIA, qui guide la démarche et produit le rapport.

Si, malgré les mesures, un risque résiduel élevé subsiste, le responsable du traitement doit consulter la CNIL avant de mettre en œuvre le traitement : c'est la consultation préalable de l'article 36.

Les violations de données : ce que l'analyse prépare

Une violation de données personnelles est un incident de sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles. Un rançongiciel, un courriel envoyé au mauvais destinataire ou un ordinateur volé non chiffré en sont.

Les obligations du responsable du traitement :

Le sujet 2025 de l'option SLAM posait exactement cette question : les données personnelles de la base n'étant pas sensibles, une violation présenterait un risque mineur pour les personnes concernées ; qui doit obligatoirement être informé, et dans quel document la violation doit-elle obligatoirement être consignée ? Raisonnement attendu : un risque mineur reste un risque, donc la violation n'est pas « peu susceptible d'engendrer un risque » : il faut notifier la CNIL dans les 72 heures ; l'information des personnes n'est obligatoire qu'en cas de risque élevé, ce qui n'est pas le cas ; et la violation est consignée dans le registre des violations tenu par le responsable du traitement.

L'analyse de risques et l'AIPD préparent ces situations : en ayant identifié à l'avance les événements redoutés et leur gravité pour les personnes, on sait vite évaluer le niveau de risque d'une violation réelle, donc qui notifier.

Comment l'AIPD et le RGPD tombent à l'E7

Les questions de protection des données sont présentes dans presque tous les sujets, car « protéger les données à caractère personnel » est une compétence du bloc 3 commune aux deux options. Dans les sujets SLAM récents :

• 2024 : dresser la liste des données sensibles d'une base médicale, écrire un scénario de risque qui rend pertinent le chiffrement de ces données, expliquer en quoi la reconnaissance faciale se distingue d'un mot de passe du point de vue juridique (une donnée biométrique est une donnée sensible au sens de l'article 9 du RGPD) ;
• 2025 : les obligations en cas de violation de données à risque mineur (CNIL, registre des violations).

Pour aller plus loin. Le cours Droit et RGPD replace l'AIPD parmi les autres obligations (registre, DPO, sous-traitants) dans le chapitre Conformité RGPD, et détaille la violation de données et sa notification.

Exercices

Exercice 1 sur 4 AIPD obligatoire ou non ? Réussi À revoir

Pour chaque traitement, compte les critères des lignes directrices européennes remplis et dis si une AIPD est nécessaire en principe.

1. Une salle de sport installe un contrôle d'accès par empreinte digitale pour ses 3 000 adhérents.
2. Une boulangerie tient un fichier des commandes de gâteaux de ses clients (nom, téléphone, commande).
3. Une plateforme de recrutement attribue automatiquement un score aux candidats et écarte ceux sous un seuil.
4. Une mairie gère les inscriptions à la cantine scolaire, avec les allergies alimentaires des enfants.

Voir la réponseMasquer la réponse de l'exercice 1

1. Données sensibles (biométrie), usage d'une technologie de reconnaissance, grande échelle discutable (3 000 personnes) : au moins deux critères → AIPD nécessaire. L'étape de nécessité et de proportionnalité poserait d'ailleurs la vraie question : une donnée biométrique est-elle indispensable pour ouvrir une porte, alors qu'un badge suffirait ?
2. Aucun critère pertinent : données courantes, faible volume, pas de surveillance → pas d'AIPD. Les obligations générales du RGPD s'appliquent (information, durée de conservation, sécurité).
3. Évaluation ou notation et décision automatisée produisant des effets importants (accès à un emploi), et sans doute grande échelle → AIPD nécessaire.
4. Données de santé (allergies), personnes vulnérables (enfants) → deux critères → AIPD nécessaire en principe.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Classer les risques pour les personnes Réussi À revoir

Pour une application de prise de rendez-vous médicaux, classe chaque situation dans l'un des trois événements redoutés de la CNIL (accès illégitime, modification non désirée, disparition), puis propose une mesure.

1. Un rendez-vous est déplacé par une personne malveillante qui a deviné le mot de passe du patient.
2. Un employé du support consulte la liste des rendez-vous chez un psychiatre d'une personnalité connue.
3. Une mauvaise manipulation lors d'une mise à jour supprime l'historique des rendez-vous de la semaine.

Voir la réponseMasquer la réponse de l'exercice 2

1. Modification non désirée (intégrité, rendue possible par un accès illégitime au compte). Mesure : second facteur pour les comptes patients, ou au minimum une politique de mots de passe robustes et la limitation des tentatives.
2. Accès illégitime (confidentialité). Mesure : limiter les droits du support au strict nécessaire (moindre privilège), journaliser les consultations et les contrôler.
3. Disparition (disponibilité). Mesure : sauvegardes testées avant chaque mise à jour, procédure de mise à jour avec retour arrière.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Une violation à gérer Réussi À revoir

Le lundi 9 mars 2026 à 16 h, Rhône Analyses découvre qu'un courriel contenant les comptes rendus de 12 patients (résultats d'analyses) a été envoyé par erreur à un autre laboratoire, qui a confirmé l'avoir supprimé sans l'ouvrir.

1. S'agit-il d'une violation de données personnelles ? Quel critère est touché ?
2. Rhône Analyses doit-elle notifier la CNIL ? Si oui, avant quand ?
3. Doit-elle informer les 12 patients ?
4. Quel document doit-elle compléter dans tous les cas ?

Voir la réponseMasquer la réponse de l'exercice 3

1. Oui : une divulgation à un destinataire non autorisé, accidentelle, de données personnelles. Le critère touché est la confidentialité.
2. Les données sont des données de santé ; même si le destinataire est un professionnel de santé qui affirme avoir supprimé le message, on ne peut pas considérer la violation comme peu susceptible d'engendrer un risque sans une analyse solide. La prudence est de notifier la CNIL au plus tard le jeudi 12 mars 2026 à 16 h (72 heures après la découverte), en précisant les éléments rassurants. Une analyse documentée qui conclurait à l'absence de risque pourrait justifier de ne pas notifier : le correcteur attend surtout que tu raisonnes sur le niveau de risque.
3. L'information des patients n'est obligatoire qu'en cas de risque élevé. Ici, le destinataire est un laboratoire soumis au secret médical, qui confirme la suppression : le risque élevé peut raisonnablement être écarté. Une information des patients reste possible par transparence.
4. Le registre des violations (article 33.5 du RGPD) : toute violation y est documentée, qu'elle soit notifiée ou non.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Biométrie ou mot de passe ? Réussi À revoir

Une entreprise envisage de remplacer le mot de passe de ses tablettes par la reconnaissance faciale. Explique en quoi les deux se distinguent juridiquement et quelles précautions s'imposent si elle maintient son projet.

Voir la réponseMasquer la réponse de l'exercice 4

Une donnée biométrique traitée pour identifier une personne de manière unique est une donnée sensible au sens de l'article 9 du RGPD : son traitement est interdit par principe, sauf exceptions (consentement explicite, obligations du droit du travail encadrées). Un mot de passe est une donnée personnelle ordinaire, que l'on peut changer ; un visage ne se change pas, et sa compromission est définitive.

Précautions : vérifier qu'une exception de l'article 9 s'applique et proposer une alternative (mot de passe ou badge) à ceux qui refusent ; mener une AIPD (données sensibles, technologie innovante) ; privilégier un gabarit stocké sur l'appareil, sous le contrôle de l'utilisateur, plutôt qu'une base centrale ; informer les salariés et consulter le CSE.

Tu avais trouvé ?

Oui, j'avais bonPas encore