Modèle AIPD RGPD : template gratuit et méthodologie CNIL

En une phrase. Une AIPD (Analyse d’Impact relative à la Protection des Données) est obligatoire avant tout traitement présentant un risque élevé pour les droits et libertés des personnes (article 35 RGPD). La CNIL recommande la méthode PIA en quatre étapes : description du traitement, évaluation de la nécessité et proportionnalité, identification et évaluation des risques, mesures de mitigation. Le défaut d’AIPD pour un traitement éligible expose à une amende administrative jusqu’à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial.

Ce guide fournit un modèle AIPD prêt à l’emploi aligné sur la méthodologie CNIL et les guidelines EDPB. Il est destiné aux DPO, RSSI et responsables conformité qui doivent produire une analyse documentée et utilisable. Vous y trouverez la structure complète en cinq sections, des échelles de cotation à expliciter dans votre analyse, les critères qui déclenchent l’obligation, et un exemple intégralement renseigné. Pour le cadre légal et la méthodologie amont, voir notre guide de l’analyse d’impact RGPD et le décryptage de l’article 35 RGPD.

Points clés

• Modèle AIPD : 4 sections d’analyse (description, nécessité/proportionnalité, risques, mesures), complétées par une 5e section d’approbation et de suivi.
• La CNIL met à disposition un logiciel gratuit “PIA” — utilisable, mais beaucoup d’organisations préfèrent un format texte.
• L’AIPD doit être proportionnée au risque : un traitement complexe nécessite plus de profondeur qu’un traitement standard.
• Conseil du DPO lorsqu’il est désigné (article 35 §2) ; avis des personnes concernées ou de leurs représentants, le cas échéant (article 35 §9).
• Si risque résiduel élevé après mesures : consultation préalable de la CNIL obligatoire (article 36).

1. Quand une AIPD est-elle obligatoire ?

Trois portes d’entrée mènent à l’AIPD. Il suffit d’en franchir une seule.

Porte 1 — les trois cas de l’article 35 §3 RGPD. Le texte vise (a) l’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, y compris le profilage, servant de base à des décisions produisant des effets juridiques ou affectant significativement la personne ; (b) le traitement à grande échelle de données sensibles au sens de l’article 9 ou de données relatives aux condamnations pénales ; © la surveillance systématique à grande échelle d’une zone accessible au public.

Porte 2 — les neuf critères du G29 (WP248 rév.01), repris tels quels par la CNIL. Dès que deux critères sont réunis, l’AIPD est présumée nécessaire. Un seul critère peut suffire si son intensité est forte : c’est un faisceau, pas un compteur.

Le rapport salarié-employeur mérite une attention particulière : la relation de subordination fait basculer le critère 7 presque mécaniquement, ce qui suffit à faire de tout dispositif RH un peu intrusif un candidat à l’AIPD.

Porte 3 — la liste CNIL des 14 traitements (délibération n° 2018-327 du 11 octobre 2018). Ces traitements sont soumis à AIPD par nature, sans qu’il soit besoin de raisonner par critères.

La liste CNIL des traitements ne nécessitant pas d’AIPD comporte des conditions précises. Le seul intitulé « paie » ou « gestion des accès » ne suffit pas : comparez la finalité, les catégories de personnes, les données et toutes les limites de la rubrique applicable. Consignez la décision et ses motifs dans le registre des traitements, avec la source et la date du réexamen.

L’article 35 §1 permet une analyse commune pour des opérations similaires présentant des risques élevés similaires. Pour plusieurs magasins, vérifiez donc les ressemblances et les différences locales avant de retenir une AIPD commune. L’article 35 §10 prévoit une dispense encadrée : base relevant de l’article 6 §1 c) ou e), droit régissant l’opération spécifique et analyse générale effectuée lors de l’adoption, sous réserve des exigences nationales mentionnées par le texte. Une référence législative ne suffit pas à elle seule. Articles 35 et 36.

2. Modèle AIPD — Section 1 : Description du traitement

Avant de remplir la trame, réunissez le responsable métier, le DPO et l’équipe qui exploite les applications concernées. Préparez les informations déjà disponibles et attribuez les questions ouvertes : qui confirme un flux, qui décrit un accès, qui vérifie une mesure de sécurité ? Une cartographie des données et de leurs flux aide à désigner les bons interlocuteurs.

Pour chaque réponse, gardez une référence vers le document ou l’observation qui la soutient et sa date de vérification. Séparez les mesures déjà en place des actions encore prévues. Cela permet au relecteur de retrouver l’origine d’une affirmation et au responsable du projet de suivre les informations manquantes avant la validation de l’analyse.

1.1 Identification du traitement
- Nom du traitement : [ex. Système de scoring RH pour promotions]
- Date de mise en œuvre prévue : [date]
- Numéro d'inscription au registre : [ROPA-XXX]

1.2 Acteurs
- Responsable de traitement : [Société, adresse, SIRET]
- DPO ou conseiller protection des données : [nom, contact]
- Sous-traitants impliqués : [nom, périmètre]

1.3 Finalité(s) du traitement
- Finalité principale : [description précise]
- Finalités secondaires : [le cas échéant]

1.4 Nature et catégories de données
- Données d'identification : [oui/non, types]
- Données de contact : [oui/non, types]
- Données professionnelles : [oui/non, types]
- Données sensibles (article 9) : [oui/non, types - si oui justification]
- Données comportementales : [oui/non, types]

1.5 Catégories de personnes concernées
- [Salariés / candidats / clients / usagers / mineurs / etc.]
- Volume estimé : [nombre]
- Présence de personnes vulnérables : [oui/non]

1.6 Cycle de vie des données
- Collecte : [source, moyen, fréquence]
- Stockage : [système, localisation, durée]
- Utilisation : [accès, traitements automatisés]
- Transmission : [destinataires internes et externes]
- Suppression : [délai, procédure]

1.7 Cartographie des flux
[Diagramme ou description : sources → systèmes → destinataires]

1.8 Technologies utilisées
- Plateformes : [SaaS / on-premise / hybride]
- Technologies sensibles : [IA / biométrie / IoT / blockchain / etc.]
- Recours à un sous-traitant cloud : [oui/non, où]

3. Modèle AIPD — Section 2 : Nécessité et proportionnalité

2.2 Base spécifique pour données sensibles (article 9)

• [le cas échéant : consentement explicite / nécessité sociale / motifs d’intérêt public / etc.]

2.3 Principes RGPD

• Limitation des finalités : [le traitement reste dans la finalité déclarée ?]
• Minimisation des données : [pourquoi chaque catégorie est nécessaire ?]
• Exactitude : [comment maintenir les données à jour ?]
• Limitation de conservation : [durée justifiée ?]
• Sécurité : [mesures appropriées ?]

2.4 Information des personnes (articles 13-14)

• Modalités : [politique de confidentialité, mention spécifique]
• Contenu : [conforme aux exigences des articles 13/14 ?]
• Accessibilité : [intelligible et facilement accessible ?]

2.5 Droits des personnes (articles 15-22)

• Droit d’accès : [procédure documentée]
• Droit de rectification : [procédure documentée]
• Droit d’effacement : [procédure et limites]
• Droit à la portabilité : [le cas échéant]
• Droit d’opposition : [procédure]
• Droit de ne pas faire l’objet d’une décision automatisée : [si applicable]

4. Modèle AIPD — Section 3 : Risques

3.1 Identification des risques

Risque 1 : Accès illégitime aux données
- Sources possibles : [interne malveillant, externe, sous-traitant
                       défaillant, erreur humaine]
- Événements redoutés : [exfiltration, fuite publique]
- Impacts potentiels : [vie privée, fraude, discrimination,
                        atteinte à la réputation]

Risque 2 : Modification non désirée des données
- Sources : [erreur de saisie, manipulation, attaque cyber]
- Événements : [données erronées affectant des décisions]
- Impacts : [discrimination, perte financière]

Risque 3 : Perte ou indisponibilité des données
- Sources : [panne technique, ransomware, sabotage]
- Événements : [non-disponibilité, perte définitive]
- Impacts : [interruption des droits exercés par les personnes]

3.2 Évaluation de chaque risque

| Risque | Gravité | Vraisemblance | Niveau global |
|--------|---------|---------------|---------------|
| 1 - Accès illégitime | Important | Limitée | Important × Limitée |
| 2 - Modification | Important | Limitée | Important × Limitée |
| 3 - Indisponibilité | Limité | Limitée | Limité |

Échelle :
- Gravité : Négligeable / Limitée / Importante / Maximale
- Vraisemblance : Négligeable / Limitée / Importante / Maximale

Méthode de référence : EBIOS Risk Manager (recommandée par CNIL).

Comment coter la gravité et la vraisemblance

C’est l’endroit où la plupart des AIPD dérapent : les équipes cotent « moyen » partout et le document ne décide plus rien. Les bases de connaissances de la CNIL fournissent des ancrages précis. La gravité mesure l’ampleur du préjudice subi par la personne concernée, pas le préjudice de l’entreprise — c’est l’inversion de perspective qui distingue une AIPD d’une analyse de risque SSI classique.

La vraisemblance mesure la facilité avec laquelle la source de risque peut exploiter les supports de données (serveurs, postes, papier, sous-traitants, canaux réseau).

Règle de traitement : un risque coté gravité maximale × vraisemblance importante ou maximale ne peut pas rester en l’état — soit vous ajoutez des mesures, soit vous renoncez au traitement, soit vous saisissez la CNIL au titre de l’article 36. Pour structurer l’appréciation, la CNIL renvoie à la méthode EBIOS Risk Manager de l’ANSSI, qui offre un vocabulaire commun avec l’équipe sécurité et évite de produire deux analyses parallèles qui ne se parlent pas.

5. Modèle AIPD — Section 4 : Mesures de mitigation

4.1 Mesures techniques

Confidentialité :
- Chiffrement en transit (TLS 1.3)
- Chiffrement au repos (AES-256)
- Pseudonymisation [si applicable]
- Anonymisation des extractions analytiques

Intégrité :
- Journalisation des accès et modifications
- Sauvegardes journalières chiffrées
- Tests de restauration mensuels

Disponibilité :
- Architecture redondante
- RTO : [délai] / RPO : [délai]
- Plan de continuité d'activité testé annuellement

Authentification et accès :
- MFA obligatoire pour accès admin
- Principe du moindre privilège
- Revue trimestrielle des droits d'accès

4.2 Mesures organisationnelles

Gouvernance :
- Politique de sécurité validée par la direction
- DPO impliqué dans toutes les évolutions
- Comité de pilotage trimestriel

Formation :
- Formation initiale obligatoire à l'embauche
- Sensibilisation annuelle
- Traçabilité (e-learning ou feuilles de signature)

4.3 Risque résiduel après mesures

| Risque | Niveau initial | Niveau résiduel |
|--------|----------------|------------------|
| 1 - Accès illégitime | Important × Limitée | Important × Négligeable |
| 2 - Modification | Important × Limitée | Important × Négligeable |
| 3 - Indisponibilité | Limité | Négligeable |

Conclusion : risque résiduel acceptable. Pas de consultation
préalable CNIL nécessaire (article 36 non applicable).

6. Modèle AIPD — Section 5 : Approbation et suivi

5.1 Avis du DPO (article 35 §2 RGPD)
- Avis : [favorable / favorable sous réserve / défavorable]
- Réserves éventuelles : [détailler]
- Nom et date : [DPO, date]

5.2 Avis des personnes concernées (le cas échéant)
- Modalités de consultation : [enquête, comité d'entreprise,
                              représentation, etc.]
- Synthèse des retours :

5.3 Approbation
- Approbé par : [responsable de traitement]
- Date :
- Signature :

5.4 Suivi
- Date de revue planifiée : [annuelle]
- Conditions déclenchant une revue anticipée :
  - Modification du traitement
  - Nouveau sous-traitant
  - Nouvelle technologie
  - Incident de sécurité
  - Mise à jour réglementaire pertinente

7. Avis du DPO, consultation des personnes, saisine de la CNIL

L’article 35 §2 est impératif : le responsable de traitement demande conseil au DPO lorsqu’il en a désigné un. Trois précisions pratiques que les AIPD ratent régulièrement.

Demandez le conseil du DPO pendant l’analyse lorsqu’il est désigné, puis conservez son avis et les suites données. La mission de conseil et de contrôle de l’exécution de l’AIPD figure à l’article 39 §1 c) ; l’article 35 §4 porte sur la liste des traitements soumis à analyse. Le responsable de traitement reste responsable des décisions et des mesures mises en œuvre. Texte du RGPD.

L’article 35 §9 prévoit de demander, le cas échéant, l’avis des personnes concernées ou de leurs représentants, sans préjudice des intérêts commerciaux ou publics et de la sécurité des opérations. Examinez séparément les obligations françaises d’information ou de consultation du CSE selon l’effectif, le projet et les dispositions applicables. Documentez les démarches pertinentes et les raisons d’une consultation non retenue.

Consultation préalable de la CNIL (article 36). Elle se déclenche dans un cas unique et souvent mal compris : lorsque l’AIPD, une fois toutes les mesures intégrées, laisse subsister un risque résiduel élevé. Ce n’est pas une formalité de dépôt : l’immense majorité des AIPD ne donne lieu à aucune saisine. Le dossier transmis doit contenir, selon l’article 36 §3, la répartition des responsabilités entre responsable, coresponsables et sous-traitants, les finalités et moyens du traitement, les mesures et garanties prévues, les coordonnées du DPO, l’AIPD elle-même et toute information demandée par l’autorité. La CNIL dispose de huit semaines pour rendre son avis écrit, délai prolongeable de six semaines en fonction de la complexité (article 36 §2), et suspendu tant qu’elle attend des informations complémentaires. Le traitement ne peut pas démarrer avant.

8. Conserver et réviser l’AIPD

Le RGPD ne fixe pas une durée chiffrée universelle de conservation de l’AIPD. Maintenez les versions nécessaires pour démontrer les décisions relatives au traitement, avec des accès adaptés. Après sa fin, justifiez la conservation documentaire selon les obligations et besoins de preuve applicables, puis prévoyez un réexamen et une suppression. Une durée de cinq ans ne convient pas automatiquement à toute situation.

L’article 35 §11 prévoit un examen de la conformité du traitement à l’analyse, au moins lorsque le risque change. Fixez un calendrier interne justifié et des événements déclencheurs ; ne présentez pas une fréquence unique comme une obligation générale du RGPD.

Concrètement : versionnez le document (v1.0, v1.1…), datez chaque révision, et gardez les versions antérieures. L’historique aide à reconstituer les informations et décisions disponibles au lancement.

9. Exemple fictif : questions à résoudre pour un SIRH avec scoring

Les mesures suivantes sont des hypothèses de travail, sans validation juridique ni conclusion automatique sur le risque résiduel. Le dossier réel doit démontrer la nécessité du scoring, le fondement applicable et, le cas échéant, les conditions de l’article 22.

1. DESCRIPTION
- Traitement : Système d'évaluation automatisée pour promotions internes
- RT : Acme SAS (800 salariés)
- DPO : dpo@acme.com
- Finalité : Identifier les profils éligibles aux promotions selon
  critères performance, ancienneté, formation
- Données : identité, fonction, évaluations annuelles, formations,
  ancienneté, salaire actuel
- Volume : 800 salariés actifs

2. NÉCESSITÉ ET PROPORTIONNALITÉ
- Base légale : à déterminer et justifier par finalité ; ne pas cumuler
  contrat et intérêt légitime sans analyser leurs conditions propres
- Pas de données sensibles
- Information : politique RH interne mise à jour, communication
  spécifique sur le traitement
- Droits : portail employé pour accès, rectification, opposition

3. RISQUES
- Discrimination algorithmique : Important × Importante
- Opacité des décisions : Important × Importante
- Accès illégitime aux scores : Important × Limitée

4. MESURES
- Audit annuel des biais algorithmiques par cabinet externe
- Intervention humaine systématique sur toute décision défavorable
- Droit de contestation transparent avec recours hiérarchique
- Formation des managers sur l'usage de l'outil
- Pseudonymisation des données dans les analyses agrégées
- Journalisation complète des décisions automatiques

Risque résiduel : à évaluer après vérification des mesures.
Consultation CNIL : à déterminer selon le risque résiduel élevé.

5. APPROBATION
- Avis DPO : à recueillir ; réserves et réponses à documenter
- Décision de lancement : en attente des validations et vérifications
- Revue : annuelle, prochaine en mai 2027

10. Outils : le logiciel PIA de la CNIL et les alternatives

Le logiciel PIA de la CNIL

La CNIL met à disposition le logiciel libre PIA. Vérifiez la version et son mode de déploiement avant de choisir votre organisation de travail. Utilisez un dossier fictif pour contrôler la structure, la collaboration, les exports et les accès nécessaires à votre équipe. Le choix de cet outil ne vaut pas validation du contenu de l’analyse par l’autorité.

Pour un assistant d’IA, décrivez les documents transmis, les paramètres du compte et les accès avant de coter les risques. Le parcours de configuration de Claude en entreprise aide à préparer cette collecte d’informations, sans conclure à la nécessité ou au résultat d’une AIPD pour tous les usages.

Solutions intégrées

Pour comparer des solutions, préparez un dossier fictif et demandez une démonstration du parcours complet : rattacher l’analyse à un traitement, attribuer une question à un contributeur, consigner un avis, suivre une mesure et retrouver une version antérieure. Vérifiez ensuite ce que contient l’export remis à une personne qui ne dispose pas d’un compte dans l’outil.

Le DPO examine la lisibilité de l’analyse et des avis ; le responsable métier vérifie qu’il retrouve ses actions ; le RSSI contrôle la manière de documenter les mesures et leurs preuves. Notez les fonctions observées, les limites rencontrées et les questions restant à confirmer. Notre guide des logiciels AIPD/DPIA fournit des critères pour préparer cette comparaison. La décision doit s’appuyer sur le fonctionnement démontré avec votre dossier et votre organisation.

Les cinq défauts qui reviennent en audit

Lors de la relecture, recherchez cinq défauts concrets. Une : la section 1 décrit le projet, pas le traitement — on y lit une roadmap produit au lieu de flux de données. Deux : la base légale est affirmée sans justification, alors que l’intérêt légitime exige un test de mise en balance documenté et que le choix entre les six bases de l’article 6 doit être motivé. Trois : les mesures de sécurité sont recopiées d’un modèle générique, sans lien avec les mesures réellement en place au titre de l’article 32. Quatre : le risque résiduel est déclaré acceptable sans qu’on voie quelle mesure a fait baisser quelle cotation. Cinq : personne n’a fixé de date de revue, si bien que le document décrit un traitement qui n’existe plus.

Conclusion

Une AIPD bien conduite n’est pas un document de plus dans le classeur conformité — c’est l’outil qui transforme une décision opérationnelle (lancer un traitement) en un arbitrage informé. Le modèle ci-dessus fournit la structure ; le contenu de chaque section dépend de la nature et de l’ampleur du traitement. Planifiez le travail selon les informations manquantes, les contributeurs disponibles et les vérifications des mesures.

Le test de qualité est simple : donnez votre AIPD à quelqu’un qui ne connaît pas le projet. S’il peut dire quelles données circulent, vers qui, pendant combien de temps, sous quelle base légale, et quelle mesure protège quel risque, le document remplit sa fonction. Ses questions signalent les points à clarifier avant validation. Une AIPD s’appuie enfin sur un socle documentaire cohérent : le registre RGPD qui identifie le traitement, les bases juridiques qui le légitiment, et le guide du DPO qui cadre le rôle de celui qui rend l’avis.

FAQ

L’AIPD est-elle obligatoire pour tous les traitements ?

Non. Elle est obligatoire pour les traitements présentant un risque élevé pour les droits et libertés des personnes (article 35 §1 RGPD) ou figurant dans la liste CNIL des cas où l’AIPD est requise (délibération 2018-327).

Qui doit réaliser l’AIPD ?

Le responsable de traitement organise l’analyse et demande conseil au DPO lorsqu’il en a désigné un. Les responsables métiers, techniques et les sous-traitants apportent les éléments nécessaires ; un appui externe ne transfère pas la responsabilité.

Quelle méthodologie utiliser ?

La méthode PIA de la CNIL fournit une structure utile. Quelle que soit la méthode retenue, l’analyse doit couvrir le contenu exigé par l’article 35 §7 et permettre de comprendre les risques pour les personnes ainsi que les garanties envisagées.

Combien de temps prend une AIPD ?

Le délai dépend de la disponibilité des informations, de la complexité des flux et des mesures à vérifier. Prévoyez des jalons pour la description, l’analyse juridique, les risques, les avis et la décision. Une estimation en heures sans périmètre ni hypothèses serait peu fiable.

Quand consulter la CNIL avant le démarrage ?

Si l’AIPD montre que le risque résiduel reste élevé malgré les mesures de mitigation (article 36 RGPD). La CNIL dispose de 8 semaines pour rendre son avis, prolongeables de 6 semaines. Tant que cet avis n’est pas rendu, le traitement ne peut pas démarrer.

Faut-il publier l’AIPD ?

Le RGPD ne prévoit pas une obligation générale de publier chaque AIPD. Une synthèse peut contribuer à la transparence, sous réserve de protéger les informations confidentielles et de sécurité. Cela ne dispense pas de fournir les informations dues aux personnes concernées et ne préjuge pas de l’appréciation de l’autorité.

Combien de temps faut-il conserver une AIPD ?

Maintenez une analyse à jour pendant le traitement et une conservation documentaire justifiée après sa fin, selon les obligations et besoins de preuve applicables. Documentez les accès, les versions utiles, le réexamen et la suppression ; le RGPD ne fixe pas un délai uniforme pour toutes les AIPD.