En une phrase. Une AIPD (Analyse d’Impact relative à la Protection des Données) est obligatoire avant tout traitement présentant un risque élevé pour les droits et libertés des personnes (article 35 RGPD). La CNIL recommande la méthode PIA en quatre étapes : description du traitement, évaluation de la nécessité et proportionnalité, identification et évaluation des risques, mesures de mitigation. Le défaut d’AIPD pour un traitement éligible expose à une amende administrative jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial.
Ce guide fournit un modèle AIPD prêt à l’emploi aligné sur la méthodologie CNIL et les guidelines EDPB. Il est destiné aux DPO, RSSI et responsables conformité qui doivent produire un document opposable — pas une dissertation. Vous y trouverez la structure complète en cinq sections, les échelles de cotation utilisées par la CNIL, les critères qui déclenchent l’obligation, et un exemple intégralement renseigné. Pour le cadre légal et la méthodologie amont, voir notre guide de l’analyse d’impact RGPD et le décryptage de l’article 35 RGPD.
Points clés
- Modèle AIPD en 4 sections principales : description, nécessité/proportionnalité, risques, mesures.
- La CNIL met à disposition un logiciel gratuit “PIA” — utilisable, mais beaucoup d’organisations préfèrent un format texte.
- L’AIPD doit être proportionnée au risque : un traitement complexe nécessite plus de profondeur qu’un traitement standard.
- Avis du DPO obligatoire (article 35 §2). Avis des personnes concernées recommandé pour les traitements à grande échelle.
- Si risque résiduel élevé après mesures : consultation préalable de la CNIL obligatoire (article 36).
1. Quand ce modèle est-il obligatoire ?
Trois portes d’entrée mènent à l’AIPD. Il suffit d’en franchir une seule.
Porte 1 — les trois cas de l’article 35 §3 RGPD. Le texte vise (a) l’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ou affectant significativement la personne ; (b) le traitement à grande échelle de données sensibles au sens de l’article 9 ou de données relatives aux condamnations pénales ; © la surveillance systématique à grande échelle d’une zone accessible au public.
Porte 2 — les neuf critères du G29 (WP248 rév.01), repris tels quels par la CNIL. Dès que deux critères sont réunis, l’AIPD est présumée nécessaire. Un seul critère peut suffire si son intensité est forte : c’est un faisceau, pas un compteur.
| # | Critère | Exemple typique en entreprise |
|---|---|---|
| 1 | Évaluation ou notation (scoring) | Scoring de solvabilité, notation de performance commerciale |
| 2 | Décision automatisée à effet juridique ou significatif | Présélection automatique de candidatures, refus de crédit |
| 3 | Surveillance systématique | Vidéoprotection de site, monitoring des postes de travail |
| 4 | Données sensibles ou hautement personnelles | Santé, opinions, mais aussi données financières et de localisation |
| 5 | Traitement à grande échelle | Volume, étendue géographique, durée, part de la population touchée |
| 6 | Croisement ou combinaison de jeux de données | Enrichissement d’un CRM par des bases externes |
| 7 | Personnes vulnérables | Salariés, mineurs, patients, personnes âgées, demandeurs d’emploi |
| 8 | Usage innovant ou technologie nouvelle | Biométrie, IoT, IA générative, reconnaissance d’objets |
| 9 | Exclusion du bénéfice d’un droit, d’un service ou d’un contrat | Liste noire mutualisée, refus d’assurance |
Le rapport salarié-employeur mérite une attention particulière : la relation de subordination fait basculer le critère 7 presque mécaniquement, ce qui suffit à faire de tout dispositif RH un peu intrusif un candidat à l’AIPD.
Porte 3 — la liste CNIL des 14 traitements (délibération n° 2018-327 du 11 octobre 2018). Ces traitements sont soumis à AIPD par nature, sans qu’il soit besoin de raisonner par critères.
| # | Type de traitement soumis à AIPD (liste CNIL) |
|---|---|
| 1 | Données de santé mises en œuvre par les établissements de santé ou médico-sociaux pour la prise en charge des personnes |
| 2 | Données génétiques de personnes vulnérables (patients, salariés, enfants) |
| 3 | Profils de personnes physiques à des fins de gestion des ressources humaines |
| 4 | Surveillance constante de l’activité des employés |
| 5 | Gestion des alertes et signalements en matière sanitaire et sociale |
| 6 | Gestion des alertes et signalements en matière professionnelle (dispositifs d’alerte, Sapin 2) |
| 7 | Données de santé constituant un entrepôt de données ou un registre |
| 8 | Profilage pouvant aboutir à l’exclusion ou la suspension du bénéfice d’un contrat |
| 9 | Traitements mutualisés de manquements contractuels aboutissant à une exclusion |
| 10 | Profilage faisant appel à des données provenant de sources externes |
| 11 | Données biométriques de reconnaissance incluant des personnes vulnérables |
| 12 | Instruction et gestion des demandes de logement social |
| 13 | Accompagnement social ou médico-social des personnes |
| 14 | Données de localisation à large échelle |
La CNIL a publié en septembre 2019 la liste symétrique des traitements pour lesquels l’AIPD n’est pas requise : paie, gestion des accès et habilitations, comptabilité, registre des membres d’une association, gestion courante des fournisseurs. En dehors de ces deux listes, la charge de la preuve reste sur le responsable de traitement : si vous décidez qu’une AIPD n’est pas nécessaire, écrivez-le et motivez-le dans le registre des traitements. Une case « AIPD : non — motivation » vaut mieux qu’un silence en cas de contrôle CNIL.
Deux règles d’échelle méritent d’être connues. L’article 35 §1 autorise une AIPD unique pour un ensemble de traitements similaires présentant des risques élevés similaires : une chaîne de 40 magasins n’a pas besoin de 40 AIPD vidéoprotection, une seule couvrant le dispositif type suffit, complétée des spécificités locales. Et l’article 35 §10 dispense d’AIPD les traitements dont la base légale résulte d’un texte qui a lui-même fait l’objet d’une analyse d’impact lors de son adoption — cas fréquent dans le secteur public.
2. Modèle AIPD — Section 1 : Description du traitement
1.1 Identification du traitement
- Nom du traitement : [ex. Système de scoring RH pour promotions]
- Date de mise en œuvre prévue : [date]
- Numéro d'inscription au registre : [ROPA-XXX]
1.2 Acteurs
- Responsable de traitement : [Société, adresse, SIRET]
- DPO ou conseiller protection des données : [nom, contact]
- Sous-traitants impliqués : [nom, périmètre]
1.3 Finalité(s) du traitement
- Finalité principale : [description précise]
- Finalités secondaires : [le cas échéant]
1.4 Nature et catégories de données
- Données d'identification : [oui/non, types]
- Données de contact : [oui/non, types]
- Données professionnelles : [oui/non, types]
- Données sensibles (article 9) : [oui/non, types - si oui justification]
- Données comportementales : [oui/non, types]
1.5 Catégories de personnes concernées
- [Salariés / candidats / clients / usagers / mineurs / etc.]
- Volume estimé : [nombre]
- Présence de personnes vulnérables : [oui/non]
1.6 Cycle de vie des données
- Collecte : [source, moyen, fréquence]
- Stockage : [système, localisation, durée]
- Utilisation : [accès, traitements automatisés]
- Transmission : [destinataires internes et externes]
- Suppression : [délai, procédure]
1.7 Cartographie des flux
[Diagramme ou description : sources → systèmes → destinataires]
1.8 Technologies utilisées
- Plateformes : [SaaS / on-premise / hybride]
- Technologies sensibles : [IA / biométrie / IoT / blockchain / etc.]
- Recours à un sous-traitant cloud : [oui/non, où]
3. Modèle AIPD — Section 2 : Nécessité et proportionnalité
2.1 Base légale (article 6 RGPD)
- Base invoquée : [consentement / contrat / obligation légale /
intérêt légitime / mission de service public /
intérêts vitaux]
- Justification : [pourquoi cette base et pas une autre]
- Si intérêt légitime : test de mise en balance documenté ?
voir notre guide [test de mise en balance](
https://www.legiscope.com/blog/gdpr-legitimate-interest.html)
2.2 Base spécifique pour données sensibles (article 9)
- [le cas échéant : consentement explicite / nécessité
sociale / motifs d'intérêt public / etc.]
2.3 Principes RGPD
- Limitation des finalités : [le traitement reste dans la finalité
déclarée ?]
- Minimisation des données : [pourquoi chaque catégorie est
nécessaire ?]
- Exactitude : [comment maintenir les données à jour ?]
- Limitation de conservation : [durée justifiée ?]
- Sécurité : [mesures appropriées ?]
2.4 Information des personnes (articles 13-14)
- Modalités : [politique de confidentialité, mention spécifique]
- Contenu : [conforme aux exigences des articles 13/14 ?]
- Accessibilité : [intelligible et facilement accessible ?]
2.5 Droits des personnes (articles 15-22)
- Droit d'accès : [procédure documentée]
- Droit de rectification : [procédure documentée]
- Droit d'effacement : [procédure et limites]
- Droit à la portabilité : [le cas échéant]
- Droit d'opposition : [procédure]
- Droit de ne pas faire l'objet d'une décision automatisée :
[si applicable]
2.6 Recours à un sous-traitant
- Justification : [pourquoi un sous-traitant et pas en interne]
- Conformité du sous-traitant : [DPA signé, audit conduit]
- Voir : [modèle DPA Article 28](
https://www.legiscope.com/blog/modele-dpa-accord-sous-traitance.html)
4. Modèle AIPD — Section 3 : Risques
3.1 Identification des risques
Risque 1 : Accès illégitime aux données
- Sources possibles : [interne malveillant, externe, sous-traitant
défaillant, erreur humaine]
- Événements redoutés : [exfiltration, fuite publique]
- Impacts potentiels : [vie privée, fraude, discrimination,
atteinte à la réputation]
Risque 2 : Modification non désirée des données
- Sources : [erreur de saisie, manipulation, attaque cyber]
- Événements : [données erronées affectant des décisions]
- Impacts : [discrimination, perte financière]
Risque 3 : Perte ou indisponibilité des données
- Sources : [panne technique, ransomware, sabotage]
- Événements : [non-disponibilité, perte définitive]
- Impacts : [interruption des droits exercés par les personnes]
3.2 Évaluation de chaque risque
| Risque | Gravité | Vraisemblance | Niveau global |
|--------|---------|---------------|---------------|
| 1 - Accès illégitime | Important | Limitée | Important × Limitée |
| 2 - Modification | Important | Limitée | Important × Limitée |
| 3 - Indisponibilité | Limité | Limitée | Limité |
Échelle :
- Gravité : Négligeable / Limitée / Importante / Maximale
- Vraisemblance : Négligeable / Limitée / Importante / Maximale
Méthode de référence : EBIOS Risk Manager (recommandée par CNIL).
Comment coter la gravité et la vraisemblance
C’est l’endroit où la plupart des AIPD dérapent : les équipes cotent « moyen » partout et le document ne décide plus rien. Les bases de connaissances de la CNIL fournissent des ancrages précis. La gravité mesure l’ampleur du préjudice subi par la personne concernée, pas le préjudice de l’entreprise — c’est l’inversion de perspective qui distingue une AIPD d’une analyse de risque SSI classique.
| Niveau de gravité | Définition CNIL | Illustration |
|---|---|---|
| Négligeable | Aucun impact, ou désagréments surmontés sans difficulté | Réitérer une formalité, perdre du temps |
| Limitée | Désagréments significatifs surmontés malgré quelques difficultés | Frais imprévus, refus d’accès à un service, stress |
| Importante | Conséquences significatives surmontables au prix de réelles difficultés | Détournement de fonds, interdiction bancaire, perte d’emploi, assignation |
| Maximale | Conséquences significatives voire irrémédiables, non surmontables | Péril financier durable, incapacité de travailler, atteinte physique de long terme |
La vraisemblance mesure la facilité avec laquelle la source de risque peut exploiter les supports de données (serveurs, postes, papier, sous-traitants, canaux réseau).
| Niveau de vraisemblance | Définition CNIL |
|---|---|
| Négligeable | Il ne semble pas possible que la menace se réalise compte tenu des supports |
| Limitée | Il semble difficile que la menace se réalise |
| Importante | Il semble possible que la menace se réalise |
| Maximale | Il semble extrêmement facile que la menace se réalise |
Règle de traitement : un risque coté gravité maximale × vraisemblance importante ou maximale ne peut pas rester en l’état — soit vous ajoutez des mesures, soit vous renoncez au traitement, soit vous saisissez la CNIL au titre de l’article 36. Pour structurer l’appréciation, la CNIL renvoie à la méthode EBIOS Risk Manager de l’ANSSI, qui offre un vocabulaire commun avec l’équipe sécurité et évite de produire deux analyses parallèles qui ne se parlent pas.
5. Modèle AIPD — Section 4 : Mesures de mitigation
4.1 Mesures techniques
Confidentialité :
- Chiffrement en transit (TLS 1.3)
- Chiffrement au repos (AES-256)
- Pseudonymisation [si applicable]
- Anonymisation des extractions analytiques
Intégrité :
- Journalisation des accès et modifications
- Sauvegardes journalières chiffrées
- Tests de restauration mensuels
Disponibilité :
- Architecture redondante
- RTO : [délai] / RPO : [délai]
- Plan de continuité d'activité testé annuellement
Authentification et accès :
- MFA obligatoire pour accès admin
- Principe du moindre privilège
- Revue trimestrielle des droits d'accès
4.2 Mesures organisationnelles
Gouvernance :
- Politique de sécurité validée par la direction
- DPO impliqué dans toutes les évolutions
- Comité de pilotage trimestriel
Formation :
- Formation initiale obligatoire à l'embauche
- Sensibilisation annuelle
- Traçabilité (e-learning ou feuilles de signature)
Gestion des sous-traitants :
- DPA signé avant tout traitement
- Audit annuel pour les sous-traitants critiques
(voir [checklist Article 28](
https://www.legiscope.com/blog/article-28-rgpd.html))
Gestion des incidents :
- Procédure de notification de violation documentée
- Délai 72h respecté (article 33 RGPD)
- Voir [article 33 RGPD](
https://www.legiscope.com/blog/notification-violation-donnees-rgpd.html)
4.3 Risque résiduel après mesures
| Risque | Niveau initial | Niveau résiduel |
|--------|----------------|------------------|
| 1 - Accès illégitime | Important × Limitée | Important × Négligeable |
| 2 - Modification | Important × Limitée | Important × Négligeable |
| 3 - Indisponibilité | Limité | Négligeable |
Conclusion : risque résiduel acceptable. Pas de consultation
préalable CNIL nécessaire (article 36 non applicable).
6. Modèle AIPD — Section 5 : Approbation et suivi
5.1 Avis du DPO (article 35 §2 RGPD)
- Avis : [favorable / favorable sous réserve / défavorable]
- Réserves éventuelles : [détailler]
- Nom et date : [DPO, date]
5.2 Avis des personnes concernées (le cas échéant)
- Modalités de consultation : [enquête, comité d'entreprise,
représentation, etc.]
- Synthèse des retours :
5.3 Approbation
- Approbé par : [responsable de traitement]
- Date :
- Signature :
5.4 Suivi
- Date de revue planifiée : [annuelle]
- Conditions déclenchant une revue anticipée :
- Modification du traitement
- Nouveau sous-traitant
- Nouvelle technologie
- Incident de sécurité
- Mise à jour réglementaire pertinente
7. Avis du DPO, consultation des personnes, saisine de la CNIL
L’article 35 §2 est impératif : le responsable de traitement demande conseil au DPO lorsqu’il en a désigné un. Trois précisions pratiques que les AIPD ratent régulièrement.
D’abord, l’avis doit être demandé pendant l’analyse, pas après. Un DPO qui découvre l’AIPD une fois le comité de pilotage passé signe un document qu’il n’a pas construit, ce qui est précisément le contraire de la mission de conseil que lui confie l’article 39. Ensuite, l’avis se documente : sens de l’avis, réserves, date. Si le responsable de traitement s’écarte de l’avis du DPO, il doit en consigner les motifs — c’est une bonne pratique constante de la CNIL, et le premier document qu’un contrôleur demandera. Enfin, l’article 35 §4 charge le DPO de contrôler l’exécution de l’AIPD, c’est-à-dire de vérifier que les mesures promises ont bien été déployées. Une AIPD dont le plan d’action n’est jamais soldé est pire qu’une absence d’AIPD : elle documente votre propre défaillance.
L’article 35 §9 ajoute que le responsable demande, « le cas échéant », l’avis des personnes concernées ou de leurs représentants. En France, cette consultation ne se confond pas avec l’information-consultation du CSE prévue à l’article L. 2312-8 du code du travail pour tout projet modifiant les conditions de travail : les deux obligations se cumulent, avec des calendriers différents. Pour un dispositif de surveillance ou de scoring RH, prévoyez les deux et documentez-les dans l’AIPD.
Consultation préalable de la CNIL (article 36). Elle se déclenche dans un cas unique et souvent mal compris : lorsque l’AIPD, une fois toutes les mesures intégrées, laisse subsister un risque résiduel élevé. Ce n’est pas une formalité de dépôt : l’immense majorité des AIPD ne donne lieu à aucune saisine. Le dossier transmis doit contenir, selon l’article 36 §3, la répartition des responsabilités entre responsable, coresponsables et sous-traitants, les finalités et moyens du traitement, les mesures et garanties prévues, les coordonnées du DPO, l’AIPD elle-même et toute information demandée par l’autorité. La CNIL dispose de huit semaines pour rendre son avis écrit, délai prolongeable de six semaines en fonction de la complexité (article 36 §2), et suspendu tant qu’elle attend des informations complémentaires. Le traitement ne peut pas démarrer avant.
8. Conserver et réviser l’AIPD
Le RGPD ne fixe aucune durée de conservation pour l’AIPD. Elle relève du principe de responsabilité de l’article 5 §2 : c’est une preuve, et une preuve ne se jette pas. Conservez-la pendant toute la durée de vie du traitement, puis pendant la durée de prescription applicable — cinq ans est un choix défendable pour l’action civile, davantage si le traitement touche à des domaines à prescription longue.
La révision, elle, n’est pas facultative. L’article 35 §11 impose au responsable de procéder à un examen pour vérifier que le traitement est réalisé conformément à l’AIPD, au moins lorsque le risque change. La CNIL recommande un réexamen au moins tous les trois ans pour les traitements stables. Les déclencheurs d’une révision anticipée sont toujours les mêmes en audit :
| Déclencheur | Ce qu’il faut rouvrir |
|---|---|
| Nouvelle finalité ou extension du périmètre | Sections 1 et 2 entièrement |
| Changement de sous-traitant ou d’hébergeur | Section 2.6, DPA article 28, transferts |
| Nouvelle technologie (IA, biométrie) | Section 3, critères 8 et 1 du G29 |
| Violation de données affectant le traitement | Sections 3 et 4, plus le registre des violations |
| Nouvelle recommandation CNIL ou lignes directrices EDPB | Section 4, mesures |
| Changement de la durée de conservation | Sections 1.6 et 2.3 |
Concrètement : versionnez le document (v1.0, v1.1…), datez chaque révision, et gardez les versions antérieures. Une AIPD sans historique de version ne prouve rien sur ce que vous saviez au moment où vous avez lancé le traitement.
9. Exemple complet : AIPD pour SIRH avec scoring
1. DESCRIPTION
- Traitement : Système d'évaluation automatisée pour promotions internes
- RT : Acme SAS (800 salariés)
- DPO : dpo@acme.com
- Finalité : Identifier les profils éligibles aux promotions selon
critères performance, ancienneté, formation
- Données : identité, fonction, évaluations annuelles, formations,
ancienneté, salaire actuel
- Volume : 800 salariés actifs
2. NÉCESSITÉ ET PROPORTIONNALITÉ
- Base légale : article 6(1)(b) (exécution du contrat de travail) +
article 6(1)(f) (intérêt légitime) avec test de mise en balance
- Pas de données sensibles
- Information : politique RH interne mise à jour, communication
spécifique sur le traitement
- Droits : portail employé pour accès, rectification, opposition
3. RISQUES
- Discrimination algorithmique : Important × Importante
- Opacité des décisions : Important × Importante
- Accès illégitime aux scores : Important × Limitée
4. MESURES
- Audit annuel des biais algorithmiques par cabinet externe
- Intervention humaine systématique sur toute décision défavorable
- Droit de contestation transparent avec recours hiérarchique
- Formation des managers sur l'usage de l'outil
- Pseudonymisation des données dans les analyses agrégées
- Journalisation complète des décisions automatiques
Risque résiduel après mesures : modéré. Pas de consultation CNIL.
5. APPROBATION
- Avis DPO : favorable sous réserve d'audit annuel des biais
- Approuvé par : DRH, Directeur Général
- Revue : annuelle, prochaine en mai 2027
10. Outils : le logiciel PIA de la CNIL et les alternatives
Le logiciel PIA de la CNIL
La CNIL publie un logiciel libre, PIA, distribué gratuitement et dont le code est ouvert. Il existe en version poste de travail pour un usage individuel et en version serveur pour un travail à plusieurs. Sa structure suit exactement les quatre étapes de la méthode, embarque les bases de connaissances (échelles de gravité et de vraisemblance, mesures types) et produit un rapport PDF ainsi qu’un export JSON. C’est l’outil de référence pour une première AIPD, et le format que les agents de la CNIL reconnaissent immédiatement.
Ses limites apparaissent à l’échelle : pas de lien natif avec le registre des traitements, pas de gestion des habilitations fines, pas de rappel automatique de revue, et une reprise laborieuse quand vingt AIPD partagent les mêmes mesures de sécurité. Beaucoup d’organisations démarrent sur PIA puis basculent vers un format texte structuré — celui reproduit ci-dessus — dès la cinquième analyse.
Solutions intégrées
Legiscope génère des AIPD assistées par IA à partir du registre des traitements : pré-identification des risques selon catégorie de traitement, suggestion de mesures de mitigation alignées sur EDPB et CNIL, suivi des avis DPO, alerte de revue annuelle. Pour une PME avec 10-30 traitements à risque, l’automatisation réduit chaque AIPD de 8-12 heures à 1-2 heures. Le comparatif détaillé des outils du marché figure dans notre analyse des logiciels AIPD/DPIA.
Les cinq défauts qui reviennent en audit
En relisant des AIPD produites par des organisations de toutes tailles, les mêmes faiblesses reviennent. Une : la section 1 décrit le projet, pas le traitement — on y lit une roadmap produit au lieu de flux de données. Deux : la base légale est affirmée sans justification, alors que l’intérêt légitime exige un test de mise en balance documenté et que le choix entre les six bases de l’article 6 doit être motivé. Trois : les mesures de sécurité sont recopiées d’un modèle générique, sans lien avec les mesures réellement en place au titre de l’article 32. Quatre : le risque résiduel est déclaré acceptable sans qu’on voie quelle mesure a fait baisser quelle cotation. Cinq : personne n’a fixé de date de revue, si bien que le document décrit un traitement qui n’existe plus.
Conclusion
Une AIPD bien conduite n’est pas un document de plus dans le classeur conformité — c’est l’outil qui transforme une décision opérationnelle (lancer un traitement) en un arbitrage informé. Le modèle ci-dessus fournit la structure ; le contenu de chaque section dépend de la nature et de l’ampleur du traitement. Pour un traitement standard, 8-16 heures de travail. Pour un traitement complexe (IA, biométrie), 30-80 heures avec appui externe.
Le test de qualité est simple : donnez votre AIPD à quelqu’un qui ne connaît pas le projet. S’il peut dire quelles données circulent, vers qui, pendant combien de temps, sous quelle base légale, et quelle mesure protège quel risque, le document remplit sa fonction. S’il doit vous poser des questions, aucun contrôleur ne s’en contentera non plus. Une AIPD s’appuie enfin sur un socle documentaire cohérent : le registre RGPD qui identifie le traitement, les bases juridiques qui le légitiment, et le guide du DPO qui cadre le rôle de celui qui rend l’avis.
FAQ
L’AIPD est-elle obligatoire pour tous les traitements ?
Non. Elle est obligatoire pour les traitements présentant un risque élevé pour les droits et libertés des personnes (article 35 §1 RGPD) ou figurant dans la liste CNIL des cas où l’AIPD est requise (délibération 2018-327).
Qui doit réaliser l’AIPD ?
Le responsable de traitement, avec l’appui du DPO. L’avis du DPO est obligatoire (article 35 §2). Pour les traitements complexes, le recours à un cabinet externe spécialisé est fréquent.
Quelle méthodologie utiliser ?
La CNIL recommande sa méthode “PIA” (4 étapes : description, nécessité/proportionnalité, risques, mesures) ainsi que la méthode EBIOS Risk Manager pour l’analyse de risque. L’EDPB a aussi publié des guidelines compatibles. Le choix dépend de la culture de l’organisation.
Combien de temps prend une AIPD ?
Pour un traitement standard documenté : 8 à 16 heures sur 2-4 semaines. Pour un traitement complexe (IA, biométrie, surveillance étendue) : 30 à 80 heures sur 6-12 semaines.
Quand consulter la CNIL avant le démarrage ?
Si l’AIPD montre que le risque résiduel reste élevé malgré les mesures de mitigation (article 36 RGPD). La CNIL dispose de 8 semaines pour rendre son avis, prolongeables de 6 semaines. Tant que cet avis n’est pas rendu, le traitement ne peut pas démarrer.
Faut-il publier l’AIPD ?
Aucune obligation de publication. La CNIL recommande toutefois de publier au moins une synthèse — description du traitement, risques identifiés, mesures — lorsque le traitement touche un large public ou émane d’un organisme public. C’est un gain de transparence à faible coût, et un argument utile en cas de plainte : une organisation qui a rendu publique son analyse est rarement soupçonnée de l’avoir bâclée.
Combien de temps faut-il conserver une AIPD ?
Aussi longtemps que le traitement existe, plus la durée de prescription. L’AIPD est une pièce de preuve au titre de l’article 5 §2 : elle démontre ce que vous saviez et ce que vous avez décidé au moment du lancement. Versionnez-la et conservez les versions antérieures.
See Legiscope in action
AI-powered GDPR compliance that saves 340+ hours/year. Trusted by compliance professionals across Europe.
Request a demo