AIPD : quand est-elle obligatoire, et comment la mener

Par Thiago de Jesus Freire, délégué à la protection des données externe, Hermetics

Mis à jour le 13 novembre 2026

Ce guide donne une information générale, à jour à la date indiquée ; il ne remplace pas l'examen de votre situation par votre délégué à la protection des données ou par votre conseil.

Une analyse d'impact relative à la protection des données (AIPD) est obligatoire avant de lancer un traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. En pratique, vous y êtes tenu lorsque le traitement figure sur la liste publiée par votre autorité de contrôle, ou, dans la plupart des cas, lorsqu'il remplit au moins deux des neuf critères retenus par les autorités européennes. C'est votre entreprise qui la mène et qui en répond, avec le conseil de son délégué à la protection des données et l'aide de ses prestataires.

Quand l'AIPD est-elle obligatoire ?

Ce que dit le règlement

L'article 35, paragraphe 1, du RGPD demande au responsable du traitement d'effectuer cette analyse avant le traitement, lorsque celui-ci, en particulier s'il recourt à de nouvelles technologies, est susceptible d'engendrer un risque élevé¹. Le paragraphe 3 cite trois cas où elle est requise¹ :

l'évaluation systématique et approfondie d'aspects personnels par un traitement automatisé, profilage compris, qui fonde des décisions aux effets juridiques ou significatifs pour la personne ;
le traitement à grande échelle de catégories particulières de données (la santé, par exemple) ou de données relatives aux condamnations pénales ;
la surveillance systématique à grande échelle d'une zone accessible au public.

Une AIPD peut être requise dans d'autres situations².

Les neuf critères et la règle des deux

Pour reconnaître un risque élevé, les autorités européennes de protection des données ont retenu neuf critères² :

l'évaluation ou la notation, y compris le profilage ;
la décision automatisée avec effet juridique ou effet similaire significatif ;
la surveillance systématique ;
les données sensibles ou à caractère hautement personnel ;
les données traitées à grande échelle ;
le croisement d'ensembles de données ;
les données concernant des personnes vulnérables, dont les enfants, les patients et les employés ;
l'utilisation innovante ou les nouvelles solutions technologiques ;
le traitement qui empêche d'exercer un droit ou de bénéficier d'un service ou d'un contrat.

Dans la plupart des cas, un traitement qui satisfait à deux critères nécessite une AIPD, et plus il en remplit, plus le risque élevé est probable. Un seul critère suffit parfois². À l'inverse, si vous estimez qu'un traitement correspondant à ces cas ne présente pas de risque élevé, vous expliquez et documentez votre décision de ne pas mener d'AIPD, avec l'avis de votre délégué à la protection des données. En cas de doute, il est recommandé d'en mener une².

Les listes des autorités de contrôle

Chaque autorité de contrôle établit et publie la liste des types d'opérations soumises à AIPD (article 35, paragraphe 4). Elle peut aussi publier la liste de celles qui en sont dispensées (paragraphe 5)¹. Ces listes sont nationales : l'autorité portugaise, par exemple, a fixé la sienne par un règlement⁵.

En France, la liste des traitements soumis à AIPD compte quatorze types d'opérations (source : CNIL, délibération n° 2018-327)³. On y trouve notamment les profils établis pour gérer les ressources humaines, la surveillance constante de l'activité des employés et les alertes professionnelles. Elle n'est pas exhaustive : un traitement qui n'y figure pas reste soumis à AIPD s'il présente un risque élevé³.

La liste des dispenses compte douze types d'opérations (source : CNIL, délibération n° 2019-118)⁴. On y trouve la gestion du personnel des organismes de moins de 250 personnes, sauf recours au profilage, la relation avec les fournisseurs, et le contrôle des accès et des horaires sans biométrie ni données sensibles. La dispense ne porte que sur l'AIPD : les autres obligations du règlement demeurent⁴.

À retenir

Employer moins de 250 personnes ne dispense pas d'AIPD. La dispense vise la gestion courante du personnel, pas le profilage ni la surveillance constante des salariés.

Une proposition de règlement de la Commission européenne, du 19 novembre 2025, prévoit de remplacer les listes nationales par une liste unique pour toute l'Union, avec un modèle et une méthode communs⁶. À la date de mise à jour de ce guide, la fiche officielle du règlement ne mentionne que des propositions, aucune modification adoptée⁷.

Ce que l'AIPD doit contenir

L'article 35, paragraphe 7, fixe un contenu minimal en quatre parties¹ :

une description systématique des opérations de traitement envisagées et de leurs finalités, y compris, le cas échéant, l'intérêt légitime poursuivi ;
une évaluation de la nécessité et de la proportionnalité de ces opérations au regard des finalités ;
une évaluation des risques pour les droits et libertés des personnes concernées ;
les mesures envisagées pour faire face à ces risques : garanties, mesures de sécurité, preuve du respect du règlement.

Qui participe, et qui décide

Le responsable du traitement décide et répond. L'analyse peut être réalisée par quelqu'un d'autre, à l'intérieur ou à l'extérieur de l'entreprise, mais c'est lui qui reste responsable en dernier ressort².
Le délégué à la protection des données conseille. Le responsable lui demande conseil, s'il en a désigné un (article 35, paragraphe 2). Le délégué dispense ses conseils sur demande et vérifie l'exécution de l'analyse (article 39, paragraphe 1, point c)¹.
Le sous-traitant aide. Son contrat prévoit qu'il aide le responsable à respecter les obligations des articles 32 à 36, dont l'AIPD, compte tenu de la nature du traitement et des informations dont il dispose (article 28, paragraphe 3, point f)¹.
Les personnes concernées sont entendues. Le cas échéant, le responsable demande leur avis ou celui de leurs représentants (article 35, paragraphe 9)¹. S'il y renonce, il justifie cette décision².

Quand consulter l'autorité de contrôle

L'article 36 impose de consulter l'autorité de contrôle avant le traitement lorsque l'AIPD révèle un risque élevé que les mesures du responsable ne suffisent pas à atténuer¹. Seul un risque résiduel élevé y oblige : si vos mesures le réduisent assez, le traitement peut être lancé sans consultation².

Le dossier transmis comprend notamment les finalités et les moyens du traitement, les mesures prévues et l'AIPD elle-même (article 36, paragraphe 3)¹. Si l'autorité estime que le traitement envisagé violerait le règlement, elle rend un avis écrit dans un délai maximal de huit semaines, qui peut être prolongé de six semaines selon la complexité du traitement (article 36, paragraphe 2)¹.

Un exemple : des caméras dans un entrepôt

Une entreprise de négoce de 120 personnes veut installer des caméras dans l'entrepôt où elle stocke des biens de valeur et où travaillent ses manutentionnaires. Ce cas figure parmi les exemples de la liste française, au titre de la surveillance constante de l'activité des employés. Il réunit deux critères : la surveillance systématique et des personnes dites vulnérables, les salariés³. L'AIPD est donc requise, malgré l'effectif. Voici le résumé de son analyse : un exemple à adapter, pas un modèle.

Partie	Ce que l'entreprise a écrit
Description et finalités	Huit caméras filment les quais et les allées. Finalité : prévenir les vols et en établir la preuve. Images consultées par deux personnes, seulement après un incident.
Nécessité et proportionnalité	Pas de caméra en salle de pause, pas de son. Les images ne servent pas à mesurer le rendement. Effacement automatique après la durée notée ici.
Risques pour les personnes	Sentiment de surveillance permanente, images détournées pour évaluer un salarié, accès par une personne non autorisée.
Mesures	Panneaux et note d'information, avis des représentants du personnel, accès nominatif et journalisé, revue de l'analyse à chaque ajout de caméra.

L'avis du délégué à la protection des données est joint à l'analyse. Le risque résiduel a été jugé acceptable : l'entreprise n'a pas eu à consulter son autorité de contrôle.

Les erreurs fréquentes

La mener après coup. Le texte dit « avant le traitement »¹. Les lignes directrices ajoutent : le plus tôt possible dans la conception du projet².
Mesurer le risque pour l'entreprise. L'analyse porte sur les risques pour les droits et libertés des personnes concernées¹, pas sur votre risque d'image.
La ranger une fois signée. Le responsable vérifie que le traitement reste conforme à l'analyse, au moins quand le risque évolue (article 35, paragraphe 11)¹.

Les manquements aux obligations des articles 25 à 39, dont celles-ci, sont passibles d'une amende pouvant atteindre 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (article 83, paragraphe 4)¹.