L'AIPD cochée : pourquoi une analyse d'impact "faite" ne protège pas

Dans beaucoup d'organisations, l'analyse d'impact relative à la protection des données — l'AIPD — est perçue comme un document à produire pour « être en règle ». On télécharge un modèle, on remplit les champs en une heure, on classe le fichier, et on coche fièrement « AIPD réalisée » dans le tableau de suivi.

C'est une erreur de nature. L'AIPD, prévue par l'article 35 du RGPD, n'est pas un formulaire : c'est une démarche d'évaluation des risques que fait peser un traitement sur les droits et libertés des personnes. Elle a une finalité concrète — identifier les risques, mesurer leur gravité et leur vraisemblance, puis définir les mesures qui les réduisent à un niveau acceptable.

Une AIPD « cochée » mais vide de substance produit l'effet inverse de celui recherché : elle crée une fausse impression de maîtrise. Le client se croit protégé, baisse la garde, et le jour du contrôle, le document devient une pièce à charge — la preuve qu'on a connu l'obligation sans la prendre au sérieux.

Avant même de parler de qualité, encore faut-il savoir quand l'AIPD s'impose. L'article 35 la rend obligatoire dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés. La CNIL a publié une liste de traitements y soumis, ainsi qu'une liste de ceux qui en sont dispensés.

Parmi les situations typiques nécessitant une AIPD :

• le traitement à grande échelle de données sensibles (santé, opinions, données biométriques) ;
• la surveillance systématique d'une zone accessible au public ;
• l'évaluation ou la notation de personnes (scoring, profilage) ;
• le croisement de fichiers, la prise de décision automatisée avec effet juridique, etc.

Le rôle du DPO est ici déterminant : c'est lui qui doit alerter sur la nécessité d'une AIPD. Omettre de la déclencher quand elle s'imposait est l'une des fautes les plus directement reprochables au conseil RGPD — car il ne s'agit plus d'une appréciation, mais d'une obligation manquée.

Lorsqu'une AIPD est réalisée mais mal faite, trois défauts reviennent systématiquement :

1. L'oubli d'un risque majeur. L'analyse passe à côté d'un scénario de menace pourtant évident — par exemple, une réidentification possible de données prétendument anonymisées. Le risque n'étant pas vu, aucune mesure n'est prévue.
2. La sous-évaluation des mesures. Les risques sont identifiés, mais on se contente de mesures cosmétiques (« sensibilisation des équipes ») là où il faudrait du chiffrement, une minimisation des données ou un cloisonnement technique.
3. L'absence de réévaluation. Une AIPD est vivante : elle doit être revue quand le traitement évolue. Une analyse figée à la version initiale d'un projet ne couvre plus le traitement réellement en production.

Une AIPD défaillante ne protège pas le client et n'épargne pas le DPO : elle documente précisément ce qui aurait dû être fait et ne l'a pas été.

C'est tout le paradoxe : un traitement sans AIPD du tout est un manquement ; un traitement avec une AIPD bâclée fournit, en plus, la preuve écrite de la légèreté avec laquelle le risque a été traité.

Prenons un exemple concret. Une AIPD réalisée pour un système de badgeage biométrique d'entreprise mentionne, au titre des mesures, une simple « information des salariés ». Elle ignore l'existence d'une alternative moins intrusive — le badge nominatif — pourtant exigée par le principe de minimisation. Le jour où un salarié saisit la CNIL, l'analyse, loin de protéger l'employeur, démontre que la question de la proportionnalité a été posée puis évacuée sans réponse sérieuse. Le DPO qui a validé cette AIPD sans formuler de réserve écrite se trouve directement exposé.

L'article 35.2 du RGPD prévoit que le responsable de traitement demande conseil au DPO lorsqu'il réalise une AIPD. Le DPO ne décide pas, mais il oriente la méthode, vérifie la pertinence des risques identifiés et la proportionnalité des mesures.

Sa responsabilité de conseil peut donc être engagée s'il :

• n'a pas alerté sur la nécessité d'une AIPD obligatoire ;
• a validé une analyse manifestement incomplète ;
• a laissé passer une sous-évaluation grossière des mesures de sécurité ;
• n'a pas recommandé de réévaluation alors que le traitement avait changé.

Là encore, la traçabilité est la clé. Si le DPO a remis une méthodologie écrite, formulé des recommandations précises et conservé la trace des points qu'il a soulevés — y compris ceux que le client n'a pas suivis — il démontre qu'il a exercé ses diligences. Dans le cas contraire, il supporte seul la critique.

Cette zone de responsabilité de conseil est exactement ce que protège une assurance RC Pro dédiée au métier de DPO, dont les garanties sont détaillées sur la page DPO / consultant en RGPD.

Une AIPD solide suit une trame éprouvée, inspirée de la méthodologie publiée par la CNIL :

1. Décrire le traitement : finalités, données, durées, destinataires, sous-traitants.
2. Vérifier la nécessité et la proportionnalité : le traitement est-il justifié, minimisé, fondé sur une base légale claire ?
3. Identifier les risques : accès illégitime, modification non désirée, disparition de données — pour chacun, sources, impacts et menaces.
4. Évaluer gravité et vraisemblance de chaque risque.
5. Définir les mesures de réduction : techniques (chiffrement, cloisonnement) et organisationnelles (habilitations, journalisation).
6. Statuer et planifier la réévaluation : le risque résiduel est-il acceptable ? Quand revoir l'analyse ?

Pour le DPO, documenter chaque étape — et notamment ses recommandations et les arbitrages du client — n'est pas une surcharge : c'est ce qui transforme l'AIPD en véritable outil de défense plutôt qu'en pièce à charge.

L'AIPD est le révélateur d'une vérité plus large sur le métier de DPO : la conformité ne se prouve pas par l'existence d'un document, mais par la qualité de la démarche qu'il atteste. Une analyse d'impact menée sérieusement protège réellement les personnes, sécurise le client et constitue, pour le DPO, la meilleure preuve de son professionnalisme.

À l'inverse, l'AIPD « cochée » est un piège à retardement. Le consultant RGPD qui veut durer dans ce métier a tout intérêt à en faire un argument de différenciation : une méthodologie rigoureuse, traçable, et adossée à une couverture assurantielle qui prend le relais le jour où, malgré tout, un client cherche à reporter sur lui les conséquences d'un contrôle.