En bref. L'analyse d'impact relative à la protection des données (AIPD) est obligatoire avant tout traitement susceptible d'engendrer un risque élevé pour les personnes. Trois repères permettent de trancher : la liste CNIL des 14 traitements soumis, celle des 12 traitements dispensés et les 9 critères du G29.
- Fondement : article 35 du RGPD, applicable depuis le 25 mai 2018.
- Le responsable du traitement décide et assume ; le délégué à la protection des données conseille ; le sous-traitant aide.
- Deux critères sur neuf : AIPD en principe. Un seul critère : appréciation au cas par cas, motifs à documenter. En cas de doute : AIPD.
- L'AIPD se mène avant le lancement et se révise dès que le risque change, au plus tard tous les trois ans selon la CNIL.
- Risque résiduel élevé malgré les mesures : consultation préalable de la CNIL (article 36).
Le 21 octobre 2026, le Conseil de l'Union européenne a arrêté sa position de négociation sur l'omnibus numérique, le projet de simplification du RGPD. Parmi les mesures retenues : une liste unique, au niveau de l'Union, des catégories de traitements à risque élevé, qui correspond à la liste nationale de l'article 35, paragraphe 4, et des modèles communs de documents de conformité. Le Parlement européen doit encore adopter sa position ; le texte final attendra 2027 au plus tôt.
Pour une PME, la question se pose donc dans les termes actuels : article 35 du RGPD, listes de la CNIL, critères du G29. Ces repères datent de 2017 à 2019, ils sont stables et ils suffisent à répondre en quelques minutes à la question de chaque dirigeant avant un nouveau projet : ce traitement exige-t-il une AIPD ? Ce guide donne la méthode, critère par critère, avec les deux listes CNIL en entier et des exemples de PME.
Qu'est-ce qu'une AIPD et qui doit la réaliser ?
L'AIPD est une étude préalable qui décrit un traitement, évalue sa nécessité et sa proportionnalité, identifie les risques pour les personnes concernées et fixe les mesures pour y faire face. Le RGPD la confie au responsable du traitement, c'est-à-dire à l'entreprise qui décide des finalités et des moyens.
L'article 35, paragraphe 7, fixe le contenu minimal : « une description systématique des opérations de traitement envisagées et des finalités du traitement », une évaluation de la nécessité et de la proportionnalité, une évaluation des risques pour les droits et libertés des personnes concernées, et « les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité ».
Trois acteurs entourent le responsable du traitement. Le délégué à la protection des données (DPD, ou DPO), lorsqu'il existe : le responsable lui « demande conseil » (article 35, paragraphe 2) et le délégué vérifie l'exécution de l'analyse (article 39, paragraphe 1, point c). Le sous-traitant, dont le contrat doit prévoir l'aide à l'analyse d'impact et à la consultation préalable, compte tenu de la nature du traitement et des informations dont il dispose (article 28, paragraphe 3, point f). Les personnes concernées, enfin, dont l'avis, ou celui de leurs représentants, est demandé « le cas échéant » (article 35, paragraphe 9).
Quand l'AIPD est-elle obligatoire d'après le RGPD ?
L'article 35, paragraphe 1, pose le principe : une AIPD s'impose lorsqu'un traitement, « en particulier par le recours à de nouvelles technologies », « est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ». Elle précède la mise en œuvre du traitement. Une seule et même analyse peut couvrir « un ensemble d'opérations de traitement similaires » qui présentent des risques élevés similaires.
Le paragraphe 3 cite trois cas où l'analyse est, « en particulier », requise : l'évaluation systématique et approfondie d'aspects personnels, profilage compris, qui fonde des décisions à effets juridiques ou significatifs ; le traitement à grande échelle de données sensibles (article 9) ou pénales (article 10) ; et « la surveillance systématique à grande échelle d'une zone accessible au public ».
Le règlement charge ensuite chaque autorité de contrôle de publier une liste des traitements soumis à l'analyse et lui permet de publier une liste des traitements dispensés (article 35, paragraphes 4 et 5). La CNIL a fait les deux : 14 types de traitements soumis (délibération n° 2018-327 du 11 octobre 2018) et 12 types de traitements dispensés (délibération n° 2019-118 du 12 septembre 2019). Entre les deux listes, les 9 critères du G29 servent de grille d'appréciation.
Quels sont les 9 critères qui déclenchent une AIPD ?
Les lignes directrices WP 248 rév. 01 du G29, reprises par le Comité européen de la protection des données, listent neuf critères qui signalent un risque élevé. Un traitement qui en remplit deux appelle en principe une AIPD. Le tableau ci-dessous les traduit en situations concrètes ; les exemples sont indicatifs et proposés par Willaw à partir des critères du G29.
| Critère | Ce qu'il recouvre | Exemple en PME |
|---|---|---|
| 1. Évaluation ou notation | Analyse d'aspects personnels (situation économique, santé, préférences, fiabilité), profilage compris | Score d'appétence commerciale, notation de solvabilité, classement des candidats par algorithme |
| 2. Décision automatisée à effet juridique ou similaire | Décision sans intervention humaine qui affecte la personne de manière significative | Refus automatique d'un crédit, d'un abonnement ou d'une candidature |
| 3. Surveillance systématique | Observation ou contrôle des personnes, souvent à leur insu | Vidéosurveillance continue des postes de travail, géolocalisation des véhicules |
| 4. Données sensibles ou hautement personnelles | Catégories particulières de l'article 9, condamnations pénales, données dont la fuite aurait de graves conséquences | Données de santé des salariés, localisation, données financières, pièces d'identité |
| 5. Grande échelle | Nombre de personnes, volume et variété des données, durée, étendue géographique | Base clients de plusieurs centaines de milliers de personnes |
| 6. Croisement de données | Rapprochement de données issues de traitements distincts, au-delà des attentes de la personne | Fusion du CRM avec des fichiers achetés et des données de navigation |
| 7. Personnes vulnérables | Déséquilibre entre la personne et le responsable du traitement | Salariés, enfants, patients, personnes âgées |
| 8. Technologie ou organisation innovante | Solution nouvelle aux effets personnels et sociaux encore mal connus | Système d'IA, biométrie, objets connectés, assistant conversationnel |
| 9. Exclusion d'un droit, d'un service ou d'un contrat | Traitement qui conditionne l'accès à un service ou la conclusion d'un contrat | Score d'octroi de prêt, blocage de compte, refus d'assurance |
La règle de décompte vient des lignes directrices : « dans la plupart des cas, le responsable du traitement peut considérer qu'un traitement satisfaisant à deux critères » doit faire l'objet d'une analyse. La CNIL retient la même lecture avec « au moins deux des neuf critères ». Plus un traitement cumule de critères, plus le risque élevé est probable, et un seul critère peut suffire lorsque le responsable estime le risque élevé. À l'inverse, lorsque le responsable écarte l'AIPD malgré un critère rempli, les lignes directrices recommandent d'expliquer et de documenter les motifs de cette décision, avec l'avis du délégué.
Quels traitements figurent sur les listes de la CNIL ?
La liste des traitements soumis règle la question sans débat : un traitement qui y figure exige une AIPD. Intitulés résumés, exemples de la CNIL.
| Type de traitement soumis à AIPD (délibération n° 2018-327) | Exemples CNIL |
|---|---|
| 1. Données de santé traitées par les établissements de santé ou médico-sociaux pour la prise en charge des personnes | Dossier patient, télémédecine, résidents d'un EHPAD |
| 2. Données génétiques de personnes dites vulnérables | Recherche médicale, consultation de génétique |
| 3. Profils de personnes physiques à des fins de ressources humaines | Algorithme de recrutement, détection des hauts potentiels ou des risques de départ |
| 4. Surveillance constante de l'activité des employés | Cybersurveillance, vidéosurveillance de salariés manipulant de l'argent |
| 5. Alertes et signalements en matière sociale et sanitaire | Signalement de mineurs en danger ou de maltraitance |
| 6. Alertes et signalements en matière professionnelle | Dispositif d'alerte professionnelle, devoir de vigilance |
| 7. Données de santé pour la constitution d'un entrepôt ou d'un registre | Entrepôt de données de santé à des fins de recherche |
| 8. Profilage pouvant aboutir à l'exclusion du bénéfice d'un contrat | Score d'octroi de crédit, lutte contre la fraude aux moyens de paiement |
| 9. Traitements mutualisés de manquements contractuels pouvant conduire à une exclusion | Fichier partagé d'impayés d'un secteur |
| 10. Profilage à partir de données de sources externes | Courtiers en données, personnalisation des publicités en ligne |
| 11. Biométrie pour identifier de manière unique des personnes parmi lesquelles figurent des personnes dites vulnérables | Cantine scolaire par contour de la main ; salariés compris, en application du règlement type biométrie de la CNIL (délibération n° 2019-001) |
| 12. Instruction des demandes et gestion des logements sociaux | Demandes de logement social |
| 13. Accompagnement social ou médico-social des personnes | Insertion sociale ou professionnelle, MDPH, CCAS |
| 14. Données de localisation à large échelle | Géolocalisation, mobilité urbaine, billettique |
La liste des traitements dispensés apporte la réponse inverse, sous conditions strictes.
| Type de traitement dispensé d'AIPD (délibération n° 2019-118) | Condition |
|---|---|
| 1. Ressources humaines dans un organisme de moins de 250 personnes | Uniquement à des fins RH, dans les conditions prévues par les textes, hors profilage ; exemples CNIL sans biométrie (paie, formation, frais, temps de travail) |
| 2. Gestion de la relation fournisseurs | Contrats, commandes, factures, règlements |
| 3. Fichier électoral des communes | Dans les conditions prévues par les textes |
| 4. Activités des comités d'entreprise et d'établissement | Activités socioculturelles, gestion des membres |
| 5. Associations, fondations et organismes sans but lucratif | Gestion des membres et donateurs, sans données sensibles |
| 6. Professionnel de santé exerçant à titre individuel | Rendez-vous, dossiers, ordonnances |
| 7. Avocat exerçant à titre individuel | Gestion des clients |
| 8. Greffiers des tribunaux de commerce | Tenue des registres et répertoires légaux |
| 9. Notaires | Exercice de l'activité notariale |
| 10. Collectivités territoriales | Affaires scolaires, périscolaires et petite enfance |
| 11. Contrôles d'accès physiques et horaires | Hors biométrie, hors données sensibles ou hautement personnelles |
| 12. Éthylotests | Encadrés par un texte, dans le transport (antidémarrage) |
Trois précisions accompagnent ces listes. La dispense d'AIPD laisse entières les autres obligations du RGPD (registre, information, sécurité). Un traitement absent des deux listes se juge avec les 9 critères. Et la CNIL, comme le CEPD, recommande de réaliser l'analyse en cas de doute.
Comment trancher en dix minutes ?
La méthode tient en sept étapes, à partir d'une description sincère du traitement.
- Décrivez le traitement en une phrase : personnes concernées, données, objectif, outil.
- Vérifiez la liste CNIL des 14 traitements soumis. Si le traitement y figure, l'AIPD est obligatoire : passez à l'étape 7.
- Vérifiez la liste CNIL des 12 traitements dispensés, conditions comprises. Si toutes les conditions sont remplies, consignez la dispense ; sinon, passez à l'étape 4.
- Passez les 9 critères un à un et comptez ceux qui sont remplis, à l'aide du tableau des 9 critères.
- Deux critères ou plus : AIPD en principe. Un critère : évaluez le risque ; si vous écartez l'AIPD, rédigez les motifs et recueillez l'avis du délégué. Zéro critère : consignez la conclusion. En cas de doute, réalisez l'AIPD.
- Inscrivez la décision dans la fiche du traitement au registre : date, conclusion, critères retenus, avis du délégué.
- Si l'AIPD s'impose, lancez-la avant la mise en production, avec les métiers et l'équipe technique.
Nous conseillons de garder une trace de chaque décision, y compris lorsque la conclusion est l'absence d'AIPD : les lignes directrices recommandent de documenter les motifs, le principe de responsabilité (article 5, paragraphe 2) appelle une preuve, et la trace évite de refaire l'analyse plus tard.
Que faire une fois la décision prise ?
Lorsque l'AIPD s'impose, elle se mène avant la mise en œuvre du traitement et suit le contenu de l'article 35, paragraphe 7. Les mesures retenues doivent ramener le risque à un niveau acceptable. Si le risque résiduel reste élevé, l'article 36 impose la consultation préalable : le responsable « consulte l'autorité de contrôle préalablement au traitement » lorsque l'analyse indique que le traitement « présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque ». La CNIL dispose alors de huit semaines pour répondre, prolongeables de six selon la complexité du traitement (article 36, paragraphe 2) : un délai à prévoir dans le planning du projet. Hors ce cas, et sauf lorsque la loi nationale l'exige, la consultation est sans objet : l'entreprise conserve son AIPD et la tient à disposition de la CNIL.
Trame d'une AIPD en quatre parties (article 35, paragraphe 7)
- Description : finalités, données, personnes, destinataires, durées, sous-traitants.
- Nécessité et proportionnalité : base juridique, minimisation, information, droits des personnes.
- Risques pour les personnes : accès illégitime, modification indésirable, disparition des données ; gravité et vraisemblance.
- Mesures : garanties techniques et organisationnelles, risque résiduel, avis du délégué, décision.
La CNIL publie trois guides (la méthode, les modèles, les bases de connaissances) et le logiciel open source PIA. Le CEPD a adopté le 14 avril 2026 un modèle d'AIPD d'usage volontaire, soumis à consultation jusqu'au 9 juin 2026.
L'analyse vit ensuite avec le traitement. L'article 35, paragraphe 11, prévoit un réexamen « au moins quand il se produit une modification du risque présenté par les opérations de traitement », par exemple un nouveau prestataire, une nouvelle finalité ou une nouvelle technologie. La CNIL demande une revue régulière, « en tout état de cause tous les trois ans » (délibération n° 2018-326) ; les lignes directrices du G29 présentent la réévaluation régulière comme une bonne pratique. Les traitements existants au 25 mai 2018 déjà déclarés à la CNIL, dispensés de formalité ou inscrits au registre d'un correspondant informatique et libertés ont bénéficié d'une dispense d'AIPD de trois ans, sauf modification substantielle ; ce délai est écoulé depuis le 25 mai 2021.
Le manquement à l'obligation d'AIPD relève du premier plafond d'amende du RGPD : « jusqu'à 10 000 000 EUR ou, dans le cas d'une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu » (article 83, paragraphe 4, point a). Le plafond est identique quelle que soit la taille de l'entreprise ; l'autorité fixe le montant dans chaque cas d'espèce, en tenant compte notamment de la nature, de la gravité et de la durée de la violation (article 83, paragraphe 2).
Ce que cela change pour une PME
- Passez vos traitements existants au crible des deux listes CNIL, en commençant par la vidéosurveillance, la géolocalisation, le recrutement et la prospection.
- Ajoutez l'étape « AIPD ou dispense » à tout nouveau projet : outil RH, CRM, système d'IA, caméras.
- Consignez chaque décision dans le registre, avec les critères retenus et l'avis du délégué.
- Relisez vos contrats de sous-traitance : la clause d'assistance à l'analyse d'impact doit y figurer.
- Planifiez la révision de chaque AIPD à chaque changement de prestataire, de finalité ou de technologie, et au plus tard tous les trois ans.
Avec Willaw, le module AIPD s'alimente depuis le registre des traitements : la description est pré-remplie, les 9 critères sont évalués fiche par fiche, et le copilote (Mistral AI, avec des traitements en Europe, ou Google Gemini, au choix du client) propose des scénarios de risque et des mesures que vous validez. Pour un premier tri, l'analyseur AIPD en ligne répond en quelques questions. Sur l'apport de l'IA dans la rédaction, lisez notre guide AIPD et intelligence artificielle. Demandez une démonstration.
Sources
- Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD), articles 5, 28, 35, 36, 39 et 83, EUR-Lex.
- Chapitre IV, Responsable du traitement et sous-traitant et Chapitre VIII, Voies de recours, responsabilité et sanctions, texte du RGPD reproduit par la CNIL.
- Délibération n° 2018-326 du 11 octobre 2018 portant adoption de lignes directrices sur les analyses d'impact relatives à la protection des données, CNIL, Journal officiel du 6 novembre 2018.
- Ce qu'il faut savoir sur l'analyse d'impact relative à la protection des données (AIPD), CNIL.
- Analyse d'impact relative à la protection des données : publication d'une liste des traitements pour lesquels une analyse est requise, CNIL, 6 novembre 2018, et la liste des 14 types d'opérations de traitement (délibération n° 2018-327 du 11 octobre 2018).
- Analyse d'impact relative à la protection des données : publication d'une liste des traitements pour lesquels une analyse n'est pas requise, CNIL, 9 octobre 2019, et la liste des 12 types d'opérations de traitement (délibération n° 2019-118 du 12 septembre 2019).
- Délibération n° 2019-001 du 10 janvier 2019 portant règlement type relatif à la mise en œuvre de dispositifs ayant pour finalité le contrôle d'accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail, CNIL.
- L'analyse d'impact relative à la protection des données (AIPD), CNIL : guides AIPD (la méthode, les modèles, les bases de connaissances) et logiciel PIA.
- Lignes directrices concernant l'analyse d'impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est « susceptible d'engendrer un risque élevé » aux fins du règlement (UE) 2016/679, WP 248 rév. 01, Groupe de travail « Article 29 », adoptées en dernier lieu le 4 octobre 2017.
- Enhancing compliance and consistency: EDPB adopts DPIA template, Comité européen de la protection des données, 14 avril 2026.
- Digital rulebook: Council agrees position to simplify data protection, privacy and cyber reporting rules, Conseil de l'Union européenne, 21 octobre 2026.