Modèle d'AIPD (analyse d'impact relative à la protection des données) : quand elle est obligatoire et ce qu'elle doit contenir
Une analyse d'impact relative à la protection des données (AIPD, ou DPIA en anglais) est l'étude que vous menez avant de lancer un traitement de données personnelles susceptible d'engendrer un risque élevé pour les personnes : elle décrit le traitement, vérifie qu'il est nécessaire et proportionné, évalue les risques pour leurs droits et fixe les mesures qui les réduisent. Le RGPD l'exige à l'article 35 ; en Suisse, la loi révisée sur la protection des données (nLPD, art. 22) prévoit un outil équivalent. Si le risque reste élevé après les mesures, il faut consulter l'autorité de contrôle avant de commencer (art. 36 RGPD). Ce guide est purement informatif et ne constitue pas un conseil juridique.
Quand une AIPD est obligatoire
L'article 35(1) du RGPD impose une AIPD lorsqu'un traitement, par sa nature, sa portée, son contexte ou ses finalités, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, en particulier lorsqu'il recourt à de nouvelles technologies. L'article 35(3) cite trois cas où elle est toujours requise :
- Évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou des effets similaires importants.
- Traitement à grande échelle de catégories particulières de données ou de données relatives aux condamnations pénales et aux infractions.
- Surveillance systématique à grande échelle d'une zone accessible au public.
Chaque autorité publie aussi une liste des types d'opérations pour lesquels une AIPD est toujours requise (art. 35(4)). En France, la CNIL a publié cette liste et met à disposition un logiciel PIA gratuit pour structurer l'analyse. Consultez la liste à jour de votre autorité avant de conclure qu'une AIPD n'est pas nécessaire.
Analyse préalable : les 9 critères du Comité européen de la protection des données
Pour les cas qui ne figurent ni dans la loi ni dans la liste, les lignes directrices sur l'AIPD approuvées par le Comité européen de la protection des données proposent 9 critères. En règle pratique, un traitement qui en remplit deux ou plus nécessite probablement une AIPD. Conservez cette analyse préalable par écrit pour chaque traitement nouveau ou modifié de façon importante, même lorsque la conclusion est qu'aucune AIPD n'est nécessaire :
| Critère | Exemple |
|---|---|
| 1. Évaluation ou notation de personnes (profilage) | Score de solvabilité, segmentation comportementale |
| 2. Décision automatisée avec effet juridique ou similaire | Rejet automatique d'une candidature ou d'un crédit |
| 3. Surveillance systématique | Surveillance des salariés, vidéosurveillance des locaux |
| 4. Données sensibles ou à caractère hautement personnel | Santé, biométrie, données d'enfants, localisation |
| 5. Traitement à grande échelle | Nombreuses personnes, volume élevé, longue durée ou zone étendue |
| 6. Croisement ou combinaison d'ensembles de données | Rapprochement de données de deux systèmes aux finalités différentes |
| 7. Personnes vulnérables | Enfants, patients, salariés vis-à-vis de leur employeur |
| 8. Technologie nouvelle ou usage innovant | Reconnaissance faciale, systèmes d'IA, objets connectés |
| 9. Traitement qui empêche d'exercer un droit ou de bénéficier d'un service | Filtrage automatisé avant la souscription d'une assurance |
Exemple : une boutique en ligne qui établit des profils d'achat (critère 1) de centaines de milliers de clients (critère 5) remplit deux critères et devrait réaliser une AIPD ; la paie d'une petite entreprise, en général, non.
Kit ISO 27701 : la documentation de votre système de management de la vie privée
34 documents Word · 14 outils Excel · 78 mesures de l'annexe A
Voir le kit ISO 27701 avec procédure d'AIPD et modèle de registreCe que doit contenir une AIPD (art. 35(7))
La loi fixe un contenu minimal. Un modèle utile l'organise en sections et laisse de la place pour les preuves :
| Section | Ce que vous rédigez | Source |
|---|---|---|
| Description du traitement | Finalité, données, personnes concernées, systèmes, prestataires, flux de données et, le cas échéant, l'intérêt légitime | Art. 35(7)(a) |
| Nécessité et proportionnalité | Base légale, minimisation, durées de conservation, information des personnes et exercice de leurs droits | Art. 35(7)(b) |
| Risques pour les personnes | Ce qui peut mal tourner (accès non autorisé, discrimination, perte de maîtrise de leurs données), vraisemblance et gravité | Art. 35(7)(c) |
| Mesures | Mesures techniques et organisationnelles qui réduisent chaque risque, avec responsable et date | Art. 35(7)(d) |
| Risque résiduel et décision | Niveau après les mesures, validation et, s'il reste élevé, consultation préalable de l'autorité | Art. 36 |
| Avis du DPO et des personnes concernées | Conseil du délégué à la protection des données et, le cas échéant, avis des personnes concernées | Art. 35(2) et 35(9) |
L'AIPD n'est pas un exercice ponctuel : l'article 35(11) demande de la réexaminer lorsque le risque évolue, par exemple en cas de nouvelles données, d'un nouveau prestataire ou d'une fonction automatisée.
Comment la réaliser étape par étape
- Partir du registre des activités de traitement : choisir le traitement et reprendre sa finalité, ses données, ses destinataires et sa durée de conservation.
- Faire l'analyse préalable avec les 9 critères et la liste de votre autorité ; l'archiver même si aucune AIPD n'est nécessaire.
- Cartographier le flux de données : d'où viennent les données, où elles sont stockées, qui y accède et où elles vont.
- Évaluer chaque risque pour les personnes avec la même échelle de vraisemblance et de gravité que votre registre des risques.
- Définir les mesures avec responsable et date, calculer le risque résiduel et le faire valider par le responsable du traitement.
- Demander l'avis du DPO et, si le risque résiduel reste élevé, préparer la consultation préalable avant le démarrage du traitement.
Le lien avec ISO 27701 et d'autres lois
ISO/IEC 27701:2025 inclut l'analyse d'impact sur la vie privée parmi ses mesures pour les responsables de traitement (mesure A.1.2.6) et la relie à l'appréciation des risques du système de management (article 6.1). Une même méthode peut donc servir plusieurs lois :
- RGPD : AIPD dans les cas de l'art. 35 et consultation préalable selon l'art. 36.
- Suisse (nLPD) : analyse d'impact lorsque le traitement est susceptible d'entraîner un risque élevé (art. 22) et consultation du PFPDT si le risque reste élevé malgré les mesures (art. 23).
- ISO 27001 : utiliser la même échelle de vraisemblance et d'impact que le registre des risques facilite l'audit des deux systèmes.
Le kit NexoDocs ISO 27701 contient une procédure d'AIPD (PIMS-PRO-02) avec l'analyse préalable et les sections ci-dessus, reliée au registre des activités de traitement (PIMS-ROP-01) et au registre des risques vie privée (PIMS-RSK-02), en fichiers Word et Excel modifiables.
Erreurs fréquentes
- Réaliser l'AIPD après le début du traitement : la loi l'exige avant.
- N'évaluer que les risques pour l'entreprise (amendes, réputation) et non les risques pour les personnes, qui sont le cœur de l'AIPD.
- Ne pas garder trace écrite de l'analyse préalable lorsqu'aucune AIPD n'est nécessaire.
- Copier une AIPD générique sans décrire le flux de données et les prestataires réels.
- Ne pas la réexaminer lorsque le traitement change ou qu'un outil d'IA est ajouté.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit ISO 27701 : la documentation de votre système de management de la vie privée
34 documents Word · 14 outils Excel · 78 mesures de l'annexe A
Voir le kit ISO 27701 avec procédure d'AIPD et modèle de registre
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
L'AIPD est-elle obligatoire pour toutes les entreprises ?
Non. Selon l'article 35 du RGPD, elle n'est obligatoire que pour les traitements susceptibles d'engendrer un risque élevé pour les personnes, comme les trois cas de l'art. 35(3) ou ceux de la liste de votre autorité. Pour les autres, il suffit de documenter l'analyse préalable.
Quelle différence entre une AIPD et une appréciation des risques de sécurité ?
Une appréciation des risques de sécurité (par exemple selon ISO 27001) porte surtout sur les actifs et le risque pour l'organisation. Une AIPD porte sur un traitement précis et sur le risque pour les droits et libertés des personnes, et examine en plus la nécessité et la proportionnalité.
Qui doit réaliser l'AIPD ?
Le responsable du traitement, en général le responsable du processus avec l'appui du DPO, de la sécurité et de l'informatique. Un sous-traitant fournit les informations sur ses systèmes, mais l'obligation incombe au responsable du traitement.
Faut-il l'envoyer à la CNIL ?
Pas en général. Ce n'est que si le risque reste élevé après les mesures qu'il faut consulter l'autorité avant de lancer le traitement (art. 36). L'AIPD est conservée comme preuve et communiquée si l'autorité la demande.
Ce guide remplace-t-il un avocat ?
Non. Il s'agit d'une information générale pour organiser le travail, pas d'un conseil juridique. Pour les décisions sur les bases légales ou la consultation préalable, adressez-vous à un professionnel.
Guides associés
Registre des activités de traitement (article 30 du RGPD) : contenu et cas où une AIPD est obligatoire
Ce que doit contenir le registre des activités de traitement (article 30 du RGPD), qui doit le tenir, quand une AIPD est nécessaire et le lien avec ISO 27701.
Lire le guide →Documents obligatoires ISO 27701:2025
Les informations documentées exigées par ISO/IEC 27701:2025 : périmètre, politique, risques, déclaration d’applicabilité, preuves, avec le chapitre de chacune.
Lire le guide →ISO 27701 et RGPD : quelle différence ?
ISO/IEC 27701 est une norme volontaire et certifiable ; le RGPD est une loi de l’UE. Différences, recoupements et comment ISO 27701 organise les preuves RGPD.
Lire le guide →Mis à jour: 2026-10-28