Comment mener une AIPD : méthode étape par étape et checklist 2026

Une AIPD est obligatoire dès qu'un traitement de données est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées. C'est ce que pose l'article 35 du RGPD, et c'est souvent là que le doute commence pour un DPO : ce traitement franchit-il le seuil, ou non ?

L'analyse d'impact relative à la protection des données ne se résume pas à un formulaire à remplir. C'est une démarche de conception qui documente un traitement, en évalue la nécessité, cartographie les risques pour les personnes et définit les mesures qui les ramènent à un niveau acceptable. Bien menée, elle protège les personnes concernées et sécurise votre organisation en cas de contrôle.

Ce guide vous donne une définition claire, les cas où l'AIPD est obligatoire selon l'article 35 et la liste de la CNIL, les 3 critères de risque élevé, la méthode en 4 étapes appuyée sur l'outil PIA de la CNIL, et une checklist actionnable. Vous saurez aussi qui mène l'AIPD et quand consulter la CNIL.

Besoin du cadre complet du RGPD avant de vous lancer ? Consultez notre guide RGPD.

Qu'est-ce qu'une AIPD (analyse d'impact relative à la protection des données) ?

Une AIPD est une étude documentée qui décrit un traitement de données personnelles, évalue sa nécessité et sa proportionnalité, puis identifie les risques pour les personnes concernées afin de définir les mesures qui les réduisent. Le terme anglais équivalent est DPIA, pour Data Protection Impact Assessment.

L'AIPD est prévue par l'article 35 du RGPD. Elle intervient avant la mise en œuvre du traitement, au stade de la conception, dans une logique de protection des données dès la conception. Sa finalité n'est pas de bloquer un projet, mais de démontrer que les risques ont été anticipés et maîtrisés.

Un outil de conformité et de preuve

L'AIPD matérialise le principe de responsabilité du RGPD. Face à un contrôle, elle prouve que vous avez analysé un traitement à risque avant de le lancer. Sa tenue et sa mise à jour font partie des documents qu'un responsable de traitement doit pouvoir présenter.

AIPD, PIA, DPIA : le même exercice

Les sigles varient selon la source. La CNIL parle d'AIPD et diffuse un logiciel nommé PIA. Le texte européen et la littérature anglophone parlent de DPIA. Ces trois termes désignent la même analyse. Pour une définition courte, voyez notre entrée de glossaire AIPD.

Ce que l'AIPD n'est pas

L'AIPD ne remplace ni le registre des traitements, qui recense l'ensemble de vos traitements, ni la cartographie globale des risques. Elle se concentre sur un traitement précis jugé à risque élevé, et va plus loin dans le détail.

Quand une AIPD est-elle obligatoire ? Article 35 et liste CNIL

Une AIPD est obligatoire lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, en particulier en cas de recours à de nouvelles technologies. C'est le principe général de l'article 35(1) du RGPD.

Deux sources précisent ce principe : l'article 35(3), qui énumère trois cas types, et la liste de la CNIL, qui recense des traitements pour lesquels l'analyse est systématiquement requise.

Les 3 critères de risque élevé de l'article 35(3)

L'article 35(3) du RGPD impose une AIPD dans trois situations précises. Chacune suffit, à elle seule, à déclencher l'obligation.

1. Évaluation systématique et approfondie de personnes, y compris le profilage, lorsqu'elle sert de base à des décisions produisant des effets juridiques ou affectant les personnes de manière significative. Un score de crédit automatisé qui conditionne l'octroi d'un prêt entre dans ce cas.
2. Traitement à grande échelle de données sensibles au sens de l'article 9, ou de données relatives aux condamnations et infractions de l'article 10. Les données sensibles incluent la santé, les opinions, l'orientation sexuelle ou les données biométriques.
3. Surveillance systématique à grande échelle d'une zone accessible au public, par exemple un dispositif de vidéosurveillance couvrant un centre commercial entier.

La liste CNIL des traitements à AIPD obligatoire

Au-delà de l'article 35(3), la CNIL a adopté une liste de 14 types de traitements pour lesquels une AIPD est obligatoire. On y trouve notamment le traitement de données de santé par les établissements de santé, la surveillance des salariés à grande échelle, le profilage à des fins de gestion des ressources humaines, ou encore les traitements de données biométriques pour identifier des personnes.

En pratique, un traitement qui figure sur cette liste dispense de s'interroger : l'AIPD est requise. La CNIL publie aussi une liste de traitements pour lesquels une AIPD n'est pas exigée, ce qui vous évite une analyse inutile.

Les 9 critères du CEPD comme boussole

Quand un traitement ne figure sur aucune liste, les lignes directrices du CEPD proposent 9 critères de risque élevé : évaluation ou scoring, décision automatisée à effet juridique, surveillance systématique, données sensibles, traitement à grande échelle, croisement de jeux de données, personnes vulnérables, usage innovant, blocage d'un droit ou d'un service. Dès que deux de ces critères sont réunis, une AIPD est en principe nécessaire.

En cas de doute, tracez votre raisonnement

Si un seul critère est présent et que le doute persiste, menez tout de même l'analyse ou documentez par écrit pourquoi vous ne l'avez pas menée. Cette trace fait partie de votre démarche de responsabilité et se relie naturellement à votre analyse de risques RGPD.

Pourquoi l'AIPD compte vraiment en 2026

L'AIPD n'est pas une formalité administrative. Elle conditionne la licéité d'un traitement à risque et engage la responsabilité du responsable de traitement. Ne pas la mener quand elle est obligatoire constitue un manquement au RGPD, sanctionnable au titre de l'article 83, dont le plafond atteint 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour ce type de manquement.

Un réflexe de conception, pas un rattrapage

Menée trop tard, l'AIPD ne sert qu'à constater les défauts d'un traitement déjà en production. Menée à la conception, elle oriente les choix techniques : minimisation des données collectées, durée de conservation, chiffrement, gestion des accès. Le coût d'une mesure corrective est bien plus faible avant le lancement qu'après.

Une exigence qui monte avec l'IA et la biométrie

Les projets d'intelligence artificielle, de reconnaissance faciale ou de scoring se multiplient. Ces traitements cumulent souvent plusieurs critères de risque élevé. L'AIPD devient alors le passage obligé qui documente les arbitrages entre l'objectif poursuivi et les droits des personnes.

Un document vivant

Une AIPD n'est pas figée. Elle doit être réexaminée à chaque évolution notable du traitement : nouvelle finalité, nouvel outil, changement de sous-traitant, extension du périmètre. La CNIL recommande un réexamen au moins tous les trois ans pour les traitements sensibles.

Exemple concret : une AIPD sur un outil de suivi RH

Prenons une entreprise de services qui déploie un logiciel de mesure de la productivité de ses équipes. L'outil enregistre le temps passé par application, les frappes clavier et la géolocalisation des ordinateurs portables. Le projet cumule deux critères de risque élevé : surveillance systématique des salariés et évaluation de personnes.

Le DPO déclenche une AIPD avant tout déploiement. La description du traitement révèle que la géolocalisation n'est pas nécessaire à la finalité annoncée, qui est l'amélioration de l'organisation du travail. L'analyse de nécessité conduit donc à la retirer.

L'identification des risques met en lumière un risque élevé pour la vie privée des salariés, avec un sentiment de surveillance permanente et un possible détournement des données à des fins disciplinaires. Les mesures retenues réduisent ce risque : agrégation des données par équipe plutôt que par individu, exclusion des frappes clavier, information claire des salariés et consultation du comité social et économique.

Après ces ajustements, le risque résiduel redevient acceptable. L'AIPD est validée par le responsable de traitement, archivée, et le projet démarre sur des bases défendables. Sans cette analyse, l'entreprise aurait déployé un dispositif intrusif et probablement illicite.

La checklist AIPD à télécharger

Une AIPD est complète lorsqu'elle couvre quatre blocs : le cadrage du besoin, la description du traitement, l'analyse des risques et la validation. La checklist ci-dessous reprend les points de contrôle de chaque bloc. Cochez-les avant de considérer votre analyse comme terminée.

Télécharger la checklist AIPDPDF à imprimer, 20 points de contrôle

Bloc 1 : cadrage et déclenchement

1. Le traitement figure-t-il sur la liste CNIL des traitements à AIPD obligatoire ?
2. Relève-t-il d'un des 3 cas de l'article 35(3) ?
3. Réunit-il au moins deux des 9 critères du CEPD ?
4. La décision de mener ou non l'AIPD est-elle documentée par écrit ?

Bloc 2 : description du traitement 5. La finalité du traitement est-elle décrite précisément ? 6. La base légale est-elle identifiée et justifiée ? 7. Les catégories de données et de personnes concernées sont-elles listées ? 8. Les destinataires et les éventuels transferts hors UE sont-ils cartographiés ? 9. La durée de conservation de chaque donnée est-elle fixée ? 10. Les sous-traitants et leurs garanties sont-ils recensés ?

Bloc 3 : nécessité, proportionnalité et risques 11. Chaque donnée collectée est-elle strictement nécessaire à la finalité ? 12. Le principe de minimisation est-il respecté ? 13. Les droits des personnes sont-ils opérationnels : information, accès, effacement, opposition ? 14. Les sources de risque et les événements redoutés sont-ils identifiés ? 15. La gravité et la vraisemblance de chaque risque sont-elles cotées ?

Bloc 4 : mesures et validation 16. Des mesures réduisent-elles chaque risque coté élevé ? 17. Le risque résiduel est-il acceptable après mesures ? 18. L'avis du DPO est-il recueilli et consigné ? 19. Le point de vue des personnes concernées a-t-il été recherché lorsque c'était pertinent ? 20. L'AIPD est-elle validée par le responsable de traitement et datée pour un réexamen ?

Utilisez cette checklist comme trame de revue avant de valider votre AIPD.

Comment mener une AIPD : la méthode en 4 étapes

La méthode de l'AIPD tient en 4 étapes : décrire le traitement, évaluer sa nécessité et sa proportionnalité, identifier et coter les risques pour les personnes, puis définir les mesures qui les réduisent. Cette structure est celle de l'outil PIA de la CNIL.

Étape 1 : décrire le traitement de manière détaillée

Posez le contexte complet du traitement. Décrivez sa finalité, les catégories de données collectées, les personnes concernées, les destinataires, les durées de conservation et les supports techniques. Recensez les sous-traitants et les flux de données, y compris les éventuels transferts hors Union européenne.

Cette description reprend et approfondit ce que contient déjà votre registre. Plus elle est précise, plus les étapes suivantes seront fiables.

Étape 2 : évaluer la nécessité et la proportionnalité

Confrontez chaque donnée collectée à la finalité annoncée. Une donnée qui n'est pas nécessaire à la finalité doit être retirée, au nom du principe de minimisation. Vérifiez la base légale du traitement, la durée de conservation, l'information des personnes et l'exercice effectif de leurs droits.

Cette étape porte sur les principes juridiques du RGPD. Elle répond à une question simple : ce traitement est-il justifié et proportionné à son objectif ?

Étape 3 : identifier et coter les risques pour les personnes

Adoptez le point de vue des personnes concernées, pas celui de l'organisation. Identifiez les événements redoutés : accès illégitime aux données, modification non désirée, disparition des données. Pour chaque événement, décrivez les sources de risque et les impacts potentiels sur les personnes.

Cotez ensuite chaque risque selon deux axes, sa gravité et sa vraisemblance, sur une échelle simple allant de négligeable à maximal. Cette cotation dialogue avec votre analyse de risques RGPD globale.

Étape 4 : définir les mesures et statuer sur le risque résiduel

Pour chaque risque jugé élevé, définissez des mesures qui abaissent sa gravité, sa vraisemblance, ou les deux : chiffrement, pseudonymisation, contrôle des accès, cloisonnement, formation des équipes. Réévaluez ensuite le risque après application des mesures.

Si le risque résiduel devient acceptable, l'AIPD peut être validée par le responsable de traitement, après avis du DPO. S'il reste élevé, vous entrez dans le cas d'une consultation préalable de la CNIL.

Structurer une AIPD suppose déjà un socle de conformité en place, notamment côté consentement. Une CMP gratuite conforme au RGPD couvre la partie traceurs de vos traitements web.

AIPD obligatoire ou non : le comparatif par situation

L'obligation de mener une AIPD dépend de la nature du traitement. Le tableau ci-dessous relie les situations les plus fréquentes à l'obligation correspondante et à son fondement.

Une réponse Oui sur une seule ligne suffit à rendre l'AIPD obligatoire. En cas de doute persistant, l'analyse reste le choix le plus prudent.

Qui mène l'AIPD et quand consulter la CNIL

L'AIPD est menée par le responsable de traitement, qui en porte la responsabilité finale. Il recueille l'avis du DPO lorsqu'un délégué à la protection des données a été désigné, et s'appuie sur les équipes métier, techniques et sécurité.

La répartition des rôles

Le responsable de traitement décide de mener l'AIPD, la valide et l'archive. Le DPO conseille, contrôle la méthode et rend un avis qui doit être consigné, y compris lorsque le responsable ne le suit pas. Le sous-traitant, lui, apporte les informations nécessaires sur la partie qu'il opère. Le point de vue des personnes concernées ou de leurs représentants est recherché lorsque c'est pertinent.

L'outil PIA de la CNIL

La CNIL met à disposition un logiciel gratuit nommé PIA, qui structure la démarche selon les quatre étapes décrites plus haut. Il guide la description du traitement, l'évaluation des principes, l'analyse des risques et produit un rapport exportable. Il n'est pas obligatoire, mais il fait gagner un temps précieux et sécurise la méthode.

Quand consulter la CNIL au titre de l'article 36

La consultation préalable de la CNIL devient obligatoire lorsque l'AIPD révèle un risque résiduel élevé que le responsable de traitement ne parvient pas à atténuer par des mesures. C'est le cas prévu par l'article 36 du RGPD.

Concrètement, si après l'étape 4 un risque important subsiste, vous saisissez la CNIL avant de mettre en œuvre le traitement. Elle dispose alors d'un délai pour rendre un avis écrit et peut formuler des recommandations, voire s'opposer au traitement. Cette consultation reste l'exception : la plupart des AIPD aboutissent à un risque résiduel acceptable.

Les erreurs courantes à éviter dans une AIPD

Les erreurs les plus fréquentes sont de mener l'AIPD trop tard, de raisonner du point de vue de l'organisation plutôt que des personnes, de confondre l'AIPD avec le registre, et d'oublier de la mettre à jour.

• Lancer l'AIPD après la mise en production : l'analyse ne sert alors qu'à constater les défauts au lieu de les prévenir. Menez-la à la conception.
• Coter les risques du point de vue de l'entreprise : l'AIPD évalue les risques pour les personnes concernées, pas le risque juridique ou financier de l'organisation.
• Confondre AIPD et registre des traitements : le registre recense tous vos traitements, l'AIPD approfondit un traitement à risque. Les deux sont complémentaires.
• Copier une AIPD d'un autre traitement : chaque traitement a son contexte, ses données et ses risques. Un modèle générique passe à côté des risques réels.
• Oublier de recueillir l'avis du DPO : cet avis doit être consigné, même quand il n'est pas suivi. Son absence fragilise la démarche.
• Ne jamais réexaminer l'AIPD : un traitement évolue, ses risques aussi. Une AIPD figée devient vite obsolète et ne protège plus.

Questions fréquentes

Une AIPD est-elle obligatoire pour toutes les entreprises ? Non. L'AIPD n'est obligatoire que pour les traitements susceptibles d'engendrer un risque élevé, au sens de l'article 35 du RGPD. Un traitement courant à faible risque, comme la gestion de la paie, n'en requiert pas. C'est la nature du traitement qui déclenche l'obligation, pas la taille de l'entreprise.

Quelle différence entre une AIPD et un registre des traitements ? Le registre des traitements recense l'ensemble de vos traitements de données, il est prévu par l'article 30 du RGPD. L'AIPD, prévue par l'article 35, approfondit un traitement précis jugé à risque élevé. Le registre est un inventaire, l'AIPD est une analyse détaillée.

Qui doit réaliser l'AIPD, le DPO ou le responsable de traitement ? Le responsable de traitement mène l'AIPD et en porte la responsabilité. Le DPO conseille sur la méthode, contrôle sa bonne exécution et rend un avis qui doit être consigné. Le DPO ne se substitue pas au responsable, il l'accompagne.

Combien de temps prend une AIPD ? Cela dépend de la complexité du traitement. Une AIPD sur un traitement bien documenté peut se boucler en quelques jours, tandis qu'un projet complexe mêlant nouvelles technologies et données sensibles demande plusieurs semaines de travail collectif. L'outil PIA de la CNIL accélère la démarche.

Faut-il transmettre l'AIPD à la CNIL ? Non, pas systématiquement. L'AIPD reste un document interne que vous tenez à disposition en cas de contrôle. Vous ne saisissez la CNIL que si l'analyse révèle un risque résiduel élevé non maîtrisé, au titre de la consultation préalable de l'article 36.

Quel outil utiliser pour mener une AIPD ? L'outil de référence est le logiciel PIA de la CNIL, gratuit et structuré selon les quatre étapes de la méthode. Il produit un rapport exportable. Des solutions de gouvernance des données proposent aussi des modules d'AIPD intégrés à un registre.

Passez de la théorie à une conformité outillée

Une AIPD bien menée protège les personnes et sécurise votre organisation. Elle commence par un socle de conformité maîtrisé, du registre des traitements jusqu'à la gestion du consentement.