RCMQu’est-ce que ce service ?
Le privacy by design, ou protection des données dès la conception, consiste à intégrer les exigences du RGPD au moment où un produit, un outil ou un processus est conçu, et non une fois qu’il est en production.
Lorsque le traitement présente un risque élevé pour les personnes, le RGPD exige une analyse d’impact (AIPD, ou DPIA en anglais). Ce service vous aide à décider si une AIPD est nécessaire, à la réaliser, et à transformer ses conclusions en mesures concrètes pour vos équipes produit et techniques.
Documenter
Contrôler
Réduire
Décider
À qui s’adresse-t-il ?
Il s’adresse aux équipes qui lancent un produit numérique, un outil RH, un dispositif de surveillance ou un traitement à grande échelle, en particulier lorsque des données sensibles sont en jeu.
Situations qui déclenchent la mission
- Lancement d’une application, d’une plateforme SaaS ou d’une nouvelle fonctionnalité qui collecte des données.
- Mise en place d’outils de surveillance des salariés : enregistrement des appels, géolocalisation, suivi d’activité.
- Utilisation de l’intelligence artificielle, du profilage ou de la notation des personnes.
- Traitement de données de santé, biométriques ou concernant des personnes vulnérables.
Problèmes que nous rencontrons souvent
- La question de la protection des données arrive juste avant la mise en production, quand tout changement coûte cher.
- Personne ne sait si une AIPD est obligatoire, ni qui doit la conduire.
- Les équipes produit et juridique ne parlent pas le même langage.
- Une AIPD a été réalisée mais ses mesures n’ont jamais été mises en œuvre.
Ce que la mission comprend
Nous intervenons idéalement au stade de la conception, mais aussi sur un produit existant qui doit être documenté.
Livrables
- Analyse préalable : une décision argumentée sur la nécessité d’une AIPD, selon les critères du Comité européen de la protection des données.
- Analyse d’impact (AIPD) : description du traitement, nécessité et proportionnalité, risques pour les personnes et mesures retenues.
- Exigences produit : une liste de règles concrètes pour les équipes : minimisation, durées, droits, sécurité, paramètres par défaut.
- Plan de mesures : les actions à réaliser, leur responsable et leur échéance.
- Note de décision : le niveau de risque résiduel et la validation par la direction.
Ce que le client doit fournir
La description du projet ou du produit, les schémas de flux de données, la liste des prestataires techniques et l’accès à un responsable produit et à un référent sécurité.
Déroulé type
Décrire
Le traitement et ses flux.
Évaluer
Nécessité, proportionnalité et risques.
Traiter
Mesures techniques et organisationnelles.
Valider
Risque résiduel et décision.
Quand une AIPD est-elle obligatoire ?
Le RGPD impose une AIPD lorsqu’un traitement est susceptible d’engendrer un risque élevé. En pratique, les autorités européennes considèrent qu’une AIPD est généralement nécessaire dès que le traitement remplit au moins deux critères parmi neuf : évaluation ou notation, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, usage innovant, ou traitement qui empêche d’exercer un droit.
Si le risque reste élevé malgré les mesures prévues, l’autorité de contrôle doit être consultée avant la mise en œuvre. Nous vous aidons à documenter ces décisions pour qu’elles soient défendables.
Limites importantes
Le DPO conseille. Les décisions produit, sécurité et acceptation du risque restent celles de votre organisation.
RCM fournit un accompagnement de conformité et de DPO. RCM n’est pas un cabinet d’avocats. Lorsqu’une consultation juridique spécialisée ou une représentation contentieuse est nécessaire, elle doit être confiée à un professionnel habilité.
Questions fréquentes
Quelle différence entre AIPD, DPIA et PIA ?−
Ce sont trois noms pour la même analyse : AIPD en français, DPIA (Data Protection Impact Assessment) en anglais, PIA dans certains outils et méthodes.
Combien coûte une AIPD ?+
À partir de 1 100 € HT pour un traitement. Le prix dépend de la complexité du traitement, du nombre de prestataires et de l’existence d’une documentation technique.
Combien de temps faut-il prévoir ?+
Comptez 2 à 5 semaines. Une analyse préalable seule, pour savoir si une AIPD est nécessaire, peut être livrée en quelques jours.
Peut-on faire une AIPD sur un produit déjà en production ?+
Oui. L’analyse documente alors l’existant et identifie les ajustements à apporter, idéalement planifiés dans les prochaines versions du produit.
Parler de votre situation
Présentez le contexte, le calendrier et les acteurs. Nous vous dirons si ce service correspond réellement au besoin.
Demander un cadrage →