Analyse d'impact (AIPD) : obligatoire en cas de risque élevé

Certains traitements de données présentent un risque particulièrement élevé pour les droits et libertés des personnes concernées, par exemple les procédés de scoring, le traitement à grande échelle de données de santé ou une vidéosurveillance systématique. Dans de tels cas, un simple registre des activités de traitement ne suffit plus.

En bref : une analyse d'impact relative à la protection des données (AIPD) est une analyse de risques documentée que les entreprises doivent réaliser, conformément à l'art. 35 du RGPD, avant le début d'un traitement susceptible d'engendrer un risque élevé, par exemple en cas de scoring, de traitement à grande échelle de données de santé ou de vidéosurveillance. Sont concernés tous les responsables du traitement dont les procédés figurent sur les listes obligatoires des autorités de contrôle. Si l'AIPD n'est pas réalisée, des amendes pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires annuel mondial sont encourues.

Qui doit réaliser une AIPD ?

Tout responsable du traitement au sens du droit de la protection des données qui prévoit un traitement susceptible d'engendrer un risque élevé pour les droits des personnes concernées y est tenu. L'obligation ne dépend pas de la taille de l'entreprise, mais de la nature du traitement : les entreprises de taille moyenne recourent elles aussi de plus en plus à des modèles de scoring pour évaluer la solvabilité ou le risque, à des traitements à grande échelle de données de santé, par exemple dans la gestion du personnel ou chez les prestataires de santé, ou à des systèmes de vidéosurveillance dans des succursales et sur des sites d'exploitation, et déclenchent ainsi automatiquement l'obligation d'évaluation. Ce qui compte, c'est toujours l'évaluation préalable et non un contrôle a posteriori, car l'AIPD doit, selon l'art. 35 du RGPD, être achevée avant que le traitement proprement dit ne démarre. Quiconque laisse passer ce moment ne peut plus régulariser l'obligation après coup en toute sécurité juridique. Un outil tel que Company Audit vous montre quelles obligations s'appliquent concrètement à votre entreprise.

Quels traitements sont considérés comme à haut risque ?

L'art. 35 du RGPD cite à titre d'exemple trois catégories de cas. Premièrement, les procédés de scoring, dans lesquels des personnes sont classées de manière systématique à partir d'évaluations automatisées, par exemple pour évaluer leur solvabilité ou leur comportement. Deuxièmement, le traitement à grande échelle de catégories particulières de données à caractère personnel, telles que les données de santé, lorsqu'un grand nombre de personnes ou un grand volume de données sont concernés. Troisièmement, la vidéosurveillance systématique de zones accessibles au public, par exemple sur des sites d'exploitation ou dans des locaux commerciaux. Comme cette énumération n'est pas exhaustive, les autorités de contrôle publient des listes positives complémentaires des traitements soumis à AIPD. Ces listes obligatoires doivent servir de première orientation avant de procéder à sa propre évaluation des risques, propre au traitement concerné.

Comment se déroule une AIPD ?

L'AIPD suit un schéma d'examen systématique et s'appuie directement sur le registre des activités de traitement ; celui-ci doit donc être complet et à jour avant le début de l'analyse d'impact. C'est seulement sur cette base que les finalités, l'ampleur et les risques d'un traitement peuvent être décrits et évalués correctement. Le déroulement comprend les étapes suivantes :

1. Vérifier si un traitement présente vraisemblablement un risque élevé (comparer avec la liste obligatoire de l'autorité de contrôle).
2. Décrire de manière systématique l'opération de traitement, ses finalités et sa nécessité.
3. Évaluer les risques pour les personnes concernées et définir des mesures correctives (mesures techniques et organisationnelles, MTO).
4. Documenter le résultat et, le cas échéant, associer le délégué à la protection des données.
5. En cas de risque résiduel élevé, consulter au préalable l'autorité de contrôle.

La documentation écrite n'est pas une fin en soi : elle sert de preuve auprès de l'autorité de contrôle que la pesée des risques a eu lieu avant le début du traitement, et elle constitue la base sur laquelle le délégué à la protection des données peut rendre son appréciation.

Que risque-t-on sans AIPD ?

Si une analyse d'impact relative à la protection des données requise n'est pas réalisée, ou si le traitement à risque est déjà commencé avant l'achèvement de l'AIPD, il y a violation de l'art. 35 du RGPD. Les autorités de contrôle peuvent prononcer à ce titre des amendes pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires annuel mondial. Comme l'obligation s'applique expressément avant le début du traitement, ce risque ne peut être évité que par un examen préalable et documenté ; une régularisation a posteriori n'est pas prévue. Pour les entreprises, l'AIPD est ainsi doublement utile : elle satisfait à l'obligation légale et apporte en même temps de la clarté sur les risques réels de leur propre traitement.

Questions fréquentes

Qu'est-ce qu'une analyse d'impact relative à la protection des données ?

L'AIPD est une évaluation documentée, prescrite par l'art. 35 du RGPD, des risques qu'un traitement prévu fait peser sur les droits et libertés des personnes concernées, y compris les mesures correctives (MTO) envisagées. Elle doit être achevée avant que le traitement ne démarre réellement et exister par écrit.

Quand faut-il établir une AIPD ?

Chaque fois qu'un traitement présente vraisemblablement un risque élevé, par exemple en cas de scoring, de traitement à grande échelle de données de santé ou de vidéosurveillance, et toujours avant que le traitement ne commence réellement.

Comment savoir si mon traitement est soumis à AIPD ?

Les autorités de contrôle publient des listes positives des traitements soumis à AIPD. Ces listes obligatoires servent de première orientation avant de procéder à sa propre évaluation des risques, adaptée au traitement concret.

Faut-il associer le délégué à la protection des données ?

Le résultat de l'AIPD doit être documenté, et le délégué à la protection des données doit y être associé lorsqu'un délégué a été désigné dans l'entreprise. Son appréciation spécialisée est prise en compte dans l'évaluation des risques et des mesures correctives prévues.

Que se passe-t-il en cas de risque résiduel élevé ?

Si, après la définition des mesures correctives, un risque élevé subsiste pour les personnes concernées, l'autorité de contrôle compétente doit être consultée avant le début du traitement.

Source : art. 35 du RGPD. Cet article est une information générale et ne remplace pas un conseil juridique dans un cas particulier. État : juillet 2026.