AIPD, dans quels cas est-elle obligatoire et comment s'y prendre

L’AIPD souffre de deux réputations contraires, toutes deux fausses. Pour les uns, c’est une formalité qu’on remplit après coup pour le dossier. Pour les autres, une montagne infranchissable réservée aux grands groupes. C’est en réalité un outil de projet : fait au bon moment, il évite de construire quelque chose qu’il faudra démonter.

Quand est-elle obligatoire

Trois sources se combinent. L’article 35 du RGPD pose le principe du risque élevé et cite trois cas : évaluation systématique et approfondie de personnes dont le profilage, traitement à grande échelle de données sensibles, surveillance systématique à grande échelle d’une zone accessible au public. La CNIL publie une liste de types de traitements pour lesquels l’AIPD est exigée. Et les lignes directrices européennes ajoutent neuf critères : deux critères cochés, AIPD requise.

Ces neuf critères méritent d’être lus une fois dans sa vie de chef de projet : évaluation ou notation, décision automatisée à effet significatif, surveillance systématique, données sensibles ou hautement personnelles, grande échelle, croisement de fichiers, personnes vulnérables, usage innovant, exclusion du bénéfice d’un droit ou d’un contrat.

Un exemple réel, et pourquoi il est parlant

Un établissement de santé souhaitait expérimenter, sur un seul service et pendant un mois, la géolocalisation intérieure de patients en chirurgie ambulatoire : un capteur posé sur le bracelet d’identification, des balises dans les zones du parcours, et l’envoi automatique d’un message neutre à l’accompagnant aux étapes clés. Un projet pilote modeste, un mois, un service, une bonne intention.

Ce petit projet cumule quatre critères sur neuf. La localisation d’un patient dans un parcours chirurgical est une donnée de santé, donc sensible : premier critère. Des patients en situation de soins sont des personnes vulnérables : deuxième. Une géolocalisation en temps réel est un suivi systématique : troisième. La technologie appliquée au suivi de patients est un usage innovant : quatrième. L’AIPD n’était pas une option, et le statut d’expérimentation n’y change rien : un pilote traite des données réelles de personnes réelles.

C’est le point que ce cas illustre le mieux. Ce n’est pas la taille du projet qui déclenche l’AIPD, c’est sa nature.

À quoi ressemble une AIPD faite sérieusement

Quatre blocs, toujours les mêmes. La description du traitement : finalités, données, durées, destinataires, sous-traitants, cycle de vie complet, de la collecte à la suppression. L’analyse de nécessité et de proportionnalité : chaque donnée collectée doit se justifier au regard de la finalité, et c’est ici que les projets maigrissent utilement. L’étude des risques pour les personnes, pas pour l’entreprise : accès illégitime, modification, disparition des données, et leurs conséquences concrètes sur les personnes concernées. Les mesures qui ramènent ces risques à un niveau acceptable, techniques et organisationnelles, avec leurs responsables et leurs échéances.

Une précision qui déroute souvent : une AIPD honnête, en début de projet, contient des points à clarifier. C’est normal, c’est même son rôle. Le document vit avec le projet, se complète à mesure que les choix se font, et se met à jour quand le traitement évolue. Une AIPD parfaite du premier coup est généralement une AIPD écrite après coup.

Si, au terme de l’analyse, un risque résiduel élevé subsiste malgré les mesures, le RGPD impose de consulter la CNIL avant de démarrer. C’est rare, et c’est précisément le signe que l’analyse a été faite avant le lancement, pas après.

Qui la fait, et le rôle du DPO

Le responsable de traitement porte l’AIPD, mais il ne la fait pas seul : le chef de projet connaît le traitement, l’informatique connaît les mesures, le métier connaît la réalité du terrain. Le DPO, lui, a un rôle défini par le règlement : son avis doit être demandé, et il est consigné dans le document.

Chez nos clients, c’est en pratique le DPO externe qui tient la plume, anime les échanges et confronte le projet aux critères, parce qu’il a le recul et la méthode. Le contenu, lui, vient toujours des équipes.