Analyse d'impact (AIPD) : quand et comment la mener ?

Certaines idées de projet méritent un temps d'arrêt avant la première ligne de code. Un dispositif de suivi des personnes, une application qui croise des informations sensibles, un outil de notation automatique : le RGPD demande alors d'étudier les conséquences avant de se lancer. C'est le rôle de l'analyse d'impact. Cet article donne des repères généraux et ne constitue pas un conseil juridique.

Quand une analyse d'impact est-elle nécessaire ?

Elle s'impose lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Le règlement vise en particulier trois situations : l'évaluation systématique d'aspects personnels, notamment par des moyens automatisés ; le traitement à grande échelle de catégories sensibles ; et la surveillance systématique d'une zone accessible au public.

La CNIL publie deux listes, l'une des traitements pour lesquels une analyse est requise, l'autre de ceux qui en sont dispensés. Consultez-les avant de conclure. Des critères complémentaires aident à trancher les cas intermédiaires :

• évaluation ou notation de personnes ;
• décision produisant un effet juridique ou affectant significativement quelqu'un ;
• surveillance systématique ;
• données sensibles ou très personnelles ;
• traitement portant sur un grand nombre de personnes ;
• croisement de fichiers d'origines différentes ;
• personnes vulnérables, comme des mineurs ou des patients ;
• recours à une technologie nouvelle ;
• traitement qui empêche d'exercer un droit ou de bénéficier d'un service.

Lorsque plusieurs de ces critères se combinent, l'analyse se justifie généralement. Dans le doute, la mener reste la démarche la plus sûre.

Que contient une analyse d'impact ?

L'exercice porte sur les conséquences pour les personnes, non sur les pertes financières de l'entreprise. Un vol de fichiers se traduit par une usurpation d'identité ou une discrimination : c'est cela qu'il faut décrire.

Comment la conduire

1. Réunissez les bonnes personnes : le responsable du projet, un profil technique, et le délégué à la protection des données s'il en existe un.
2. Décrivez le traitement réel, pas celui du cahier des charges initial.
3. Interrogez la nécessité : chaque donnée collectée sert-elle l'objectif ? Un moyen moins intrusif existe-t-il ?
4. Listez les scénarios de risque et leurs effets pour les personnes concernées.
5. Associez une mesure à chaque risque : restriction des accès, chiffrement, traçabilité, durée réduite, information renforcée.
6. Recueillez l'avis des personnes concernées ou de leurs représentants lorsque c'est approprié.
7. Datez, faites valider et conservez le document.
8. Reprenez l'analyse à chaque évolution notable du traitement.

L'analyse est une démarche projet, pas un formulaire à remplir après coup. Menée trop tard, elle ne peut plus rien corriger. La CNIL met à disposition un logiciel libre qui guide chaque étape.

Et si le risque reste élevé ?

Si, malgré les mesures envisagées, le risque résiduel demeure élevé, le règlement impose de consulter la CNIL avant de démarrer le traitement. C'est un signal fort : dans la plupart des cas, mieux vaut revoir le projet pour réduire le risque à la source, par exemple en renonçant à une donnée, en raccourcissant la conservation ou en abandonnant un croisement de fichiers.

L'analyse alimente aussi le reste de votre documentation : elle nourrit le registre, précise les durées et clarifie ce qu'il faudra dire aux personnes. Selon les cas, la présence d'un délégué à la protection des données change la manière de la conduire. NexSecure peut instruire le volet technique de cette analyse dans le cadre de son offre de conformité RGPD.