Mis à jour le 2 juillet 2026 · 7 min de lecture
Qu'est-ce qu'une AIPD ?
L'analyse d'impact relative à la protection des données (AIPD, ou PIA) est une étude prévue par l'article 35 du RGPD. Elle sert à la fois à construire un traitement respectueux de la vie privée et à démontrer sa conformité. Elle est obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé.
Suis-je concerné ?
Une AIPD est requise si votre traitement figure sur la liste de la CNIL, ou s'il remplit au moins deux des neuf critères de risque élevé (profilage, décision automatisée, surveillance, données sensibles, grande échelle, croisement, personnes vulnérables, usage innovant, obstacle à un droit).
La méthode CNIL en 4 étapes
- 1
Étudier le contexte
Décrire le traitement, ses finalités, les données, les destinataires, les durées et les supports (logiciels, serveurs, personnes).
- 2
Étudier les principes fondamentaux
Vérifier la proportionnalité, la nécessité, la base légale, la minimisation, et les mesures protégeant les droits des personnes.
- 3
Étudier les risques
Pour chaque événement redouté (accès illégitime, modification, disparition), estimer la gravité et la vraisemblance, puis les mesures de sécurité.
- 4
Valider
Statuer sur l'acceptabilité des risques et faire valider l'AIPD, après avis du DPO. Si un risque élevé subsiste, consulter la CNIL (art. 36).
Un exemple concret
Prenons un dispositif de vidéosurveillance couvrant l'accueil d'un établissement de santé. Le traitement remplit plusieurs critères (surveillance systématique, personnes vulnérables, données sensibles indirectes), donc une AIPD est nécessaire.
| Étape | Ce que l'on documente sur l'exemple |
|---|---|
| Contexte | Finalité (sécurité des biens et personnes), zones filmées, durée de conservation (1 mois), accès restreint |
| Principes | Information par panneaux, base légale (intérêt légitime), minimisation des zones, droits d'accès aux images |
| Risques | Accès non autorisé aux images : gravité élevée, vraisemblance réduite par le chiffrement et la journalisation |
| Validation | Risques jugés acceptables après mesures ; AIPD datée et signée, avis du DPO consigné |
Faites-le avec DPO Suite
La plateforme DPO Suite guide votre AIPD selon la méthode de la CNIL, avec des modèles et une saisie assistée par l'IA. Un DPO de DPO France peut aussi la réaliser pour vous.
Les erreurs à éviter
- Lancer le traitement avant l'AIPD alors qu'elle est obligatoire.
- Traiter l'AIPD comme une formalité et non comme un outil de décision.
- Oublier de la réexaminer (au moins tous les 3 ans et à chaque évolution).