Quand faut-il réaliser une AIPD ?

En bref

Une analyse d’impact est nécessaire lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.

La décision dépend du contexte, de l’échelle, des données, de la surveillance et de la vulnérabilité des personnes. Un outil ou une donnée sensible ne déclenche pas automatiquement la même conclusion dans tous les cas.

Ce qu’il faut préparer

• Objectif et périmètre du traitement ou de la mission.
• Acteurs, outils, fournisseurs et flux concernés.
• Documents, contrats et décisions déjà disponibles.

Les critères qui déclenchent une AIPD

L’article 35 du RGPD impose une analyse d’impact lorsqu’un traitement est susceptible d’engendrer un risque élevé. Les lignes directrices européennes retiennent neuf critères ; un traitement qui en remplit au moins deux nécessite en général une AIPD :

• Évaluation ou notation de personnes, y compris le profilage.
• Décision automatisée produisant des effets juridiques ou similaires.
• Surveillance systématique, par exemple d’employés ou d’un espace public.
• Données sensibles ou à caractère hautement personnel.
• Traitement à grande échelle.
• Croisement ou combinaison de jeux de données.
• Personnes vulnérables : salariés, patients, mineurs.
• Usage innovant ou nouvelle technologie.
• Traitement qui empêche d’exercer un droit ou de bénéficier d’un service.

Ce que contient une AIPD

1. Description du traitement : finalités, données, personnes, destinataires, durées et outils.
2. Nécessité et proportionnalité : base légale, minimisation, information et droits des personnes.
3. Analyse des risques : accès illégitime, modification non désirée, disparition des données, et leurs conséquences pour les personnes.
4. Mesures : techniques et organisationnelles retenues pour ramener le risque à un niveau acceptable, avec les responsables.

Si un risque élevé subsiste malgré les mesures, l’autorité de contrôle doit être consultée avant la mise en œuvre (article 36 du RGPD).

À quel moment la réaliser ?

L’AIPD se fait avant la mise en œuvre du traitement, idéalement pendant la conception du projet, quand il est encore possible de changer un choix technique ou un fournisseur. Elle doit ensuite être revue lorsque le traitement évolue de manière significative : nouvelle finalité, nouvelles données, nouveau prestataire ou changement d’échelle.

Et au Maroc ?

La loi 09-08 ne prévoit pas de mécanisme identique à l’AIPD du RGPD. Certains traitements nécessitent en revanche une autorisation préalable de la CNDP, notamment lorsqu’ils portent sur des données sensibles. Pour une entreprise marocaine soumise au RGPD, par exemple parce qu’elle travaille pour des clients européens, l’AIPD reste la méthode de référence pour documenter le risque.

Questions fréquentes

Limites

Ce contenu fournit une information générale. Il ne constitue pas un avis juridique adapté à une situation particulière.