Définition de analyse d'impact relative à la protection des données (aipd)

L’analyse d’impact relative à la protection des données est un outil permettant d’assurer à l’entreprise qu’elle se conforme au règlement général sur la protection des données (RGPD). Elle est obligatoire lorsque le traitement des données implique un risque élevé pour les droits et libertés des personnes concernées (CNIL, article du 22 octobre 2019).

La CNIL a établi une liste des types d’opérations de traitement qui relève du champ du risque élevé et donc implique une obligation d’établir une analyse d’impact.

Parmi cette liste, peuvent notamment concerner les entreprises :

• les traitements établissant des profils de personnes physiques à des fins de gestion des ressources humaines. Par exemple :
  • le traitement visant à faciliter le recrutement, notamment grâce à un algorithme de sélection,
  • le traitement visant à proposer des actions de formations personnalisées grâce à un algorithme,
  • le traitement visant à détecter et à prévenir les départs de salariés sur la base de corrélations établies entre divers facteurs ;
• les traitements ayant pour finalité de surveiller de manière constante l’activité des employés concernés en cas de surveillance systématique ou impliquant des personnes dites « vulnérables ». Par exemple :
  • un dispositif de cybersurveillance tel que ceux procédant à une analyse des flux de courriels sortants afin de détecter d’éventuelles fuites d’information (dispositifs dits « de Data Loss Prevention »),
  • la vidéosurveillance portant sur les employés manipulant de l’argent,
  • la vidéosurveillance d’un entrepôt stockant des biens de valeur au sein duquel travaillent des manutentionnaires,
  • le chronotachygraphe des véhicules de transport routier (CNIL, liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise).

D’autres types d’opérations susceptibles d’être concernées sont recensés sur le site de la CNIL.

Lorsque l’entreprise est concernée, elle sollicite le responsable de traitement en charge de la conformité au RGPD, qui peut être un sous-traitant ou un délégué à la protection des données désigné par l’employeur.

Les méthodes de mise en place de l’AIPD sont disponibles dans les guides AIPD de la CNIL sur le site Internet de cette dernière.

Il s’agit globalement de :

• délimiter et décrire le contexte du (des) traitement(s) considéré(s) ;
• analyser les mesures garantissant le respect des principes fondamentaux : la proportionnalité et la nécessité du traitement, et la protection des droits des personnes concernées ;
• apprécier les risques sur la vie privée liés à la sécurité des données et vérifier qu’ils sont convenablement traités ;
• formaliser la validation de l’analyse au regard des éléments précédents ou bien décider de réviser les étapes précédentes.