Blog

AIPD : comment mener une analyse d'impact RGPD étape par étape

7 septembre 2026 — 7 min de lecture

La plupart des obligations RGPD s'appliquent après coup : documenter ce que vous faites déjà. L'analyse d'impact (AIPD) est différente — elle doit être menée avant de lancer un traitement susceptible d'engendrer un risque élevé pour les personnes concernées. Voici comment savoir si vous êtes concerné, et comment la mener sans faire appel à un cabinet spécialisé.

Qu'est-ce qu'une AIPD ?

L'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD, ou DPIA en anglais) avant tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Contrairement au registre des traitements, qui documente l'existant, l'AIPD est un exercice d'anticipation : identifier les risques avant qu'ils ne se matérialisent, et démontrer que le traitement a été pensé pour les limiter.

Quand une AIPD est-elle obligatoire ?

La CNIL retient neuf critères ; dès qu'un traitement en croise deux, l'AIPD est présumée obligatoire. Les plus fréquents chez une PME :

• Évaluation ou scoring — profilage de clients, scoring de solvabilité, notation de performance des salariés.
• Surveillance systématique — vidéosurveillance des espaces de travail, géolocalisation de véhicules ou de salariés.
• Données sensibles ou à caractère hautement personnel à grande échelle — santé, données bancaires, données biométriques.
• Croisement de données provenant de sources différentes, au-delà de ce que la personne pouvait raisonnablement anticiper.
• Personnes vulnérables — traitement de données concernant des mineurs ou des personnes en situation de dépendance.

La CNIL publie aussi des listes explicites de traitements pour lesquels l'AIPD est requise ou, à l'inverse, dispensée — utile pour trancher les cas ambigus sans avoir à interpréter les neuf critères soi-même.

Les 4 étapes d'une AIPD

La méthode recommandée par la CNIL se déroule en quatre temps :

• 1. Décrire le traitement — sa finalité, les moyens mis en œuvre, le contexte dans lequel il s'inscrit.
• 2. Évaluer la nécessité et la proportionnalité — le traitement est-il indispensable pour atteindre l'objectif visé ? Existe-t-il une solution moins intrusive ?
• 3. Étudier les risques sur la vie privée — pour chacun des trois angles suivants, estimer la gravité et la vraisemblance : un accès illégitime aux données, une modification non désirée, ou leur disparition. La CNIL retient une échelle à quatre niveaux — négligeable, limité, important, maximal — appliquée à chacun de ces trois risques.
• 4. Décider — sur la base des mesures prévues pour réduire ces risques, le risque résiduel est-il acceptable ? Si le risque résiduel reste élevé malgré les mesures, une consultation préalable de la CNIL est obligatoire avant de lancer le traitement (article 36).

Un exemple concret : la vidéosurveillance d'un entrepôt

Une PME installe des caméras aux accès de son entrepôt pour prévenir le vol. Le risque d'accès illégitime peut être jugé important si l'enregistrement est consultable par l'ensemble de l'équipe logistique sans traçabilité ; il redescend à limité une fois l'accès restreint aux seuls responsables, avec badges nominatifs et journal de consultation conservé un an. Le risque global de l'AIPD retient toujours le niveau le plus élevé des trois risques évalués — ici, le traitement reste classé « important » tant que ce point n'est pas corrigé, quelle que soit la qualité des mesures prises sur les deux autres risques.

Une AIPD n'est pas figée

Un nouveau prestataire, une extension du périmètre de collecte, un changement de finalité : chacun de ces événements peut faire évoluer les risques évalués et justifie de revoir l'AIPD, pas seulement de l'archiver après sa première rédaction. C'est ce qui distingue une AIPD réellement utile — pensée comme un document vivant, comme le registre des traitements — d'un exercice administratif fait une fois pour cocher une case.