Disposez-vous d'une analyse d'impact (AIPD/PIA) pour vos traitements à risque élevé ?
En bref — ce que vous devez retenir
L'AIPD (Analyse d'Impact relative à la Protection des Données) est obligatoire pour tout traitement susceptible d'engendrer un risque élevé pour les personnes concernées. Elle documente les risques identifiés et les mesures mises en place pour les réduire.
Glossaire
Analyse d'Impact relative à la Protection des Données
Étude obligatoire (imposée par le RGPD) à réaliser avant tout traitement de données personnelles à risque élevé. Elle identifie les risques pour la vie privée et les mesures pour les réduire.
L'article 35 du RGPD impose une AIPD avant tout traitement à "risque élevé". Les critères : traitement à grande échelle de données sensibles (santé, opinions politiques, données biométriques), surveillance systématique d'espaces publics, décisions automatisées ayant des effets significatifs.
Une AIPD bien réalisée protège l'entreprise : elle démontre à la CNIL que vous avez évalué les risques et mis en place des mesures proportionnées. En cas de contrôle ou d'incident, c'est une preuve de diligence qui peut réduire les sanctions.
Application mobile collectant des données de santé sans AIPD réalisée. Contrôle CNIL suite à une plainte. Amende de 250 000 € dont une partie explicitement due à l'absence d'AIPD préalable pour un traitement à haut risque.
"On a réalisé une AIPD pour notre nouveau système de scoring client. L'analyse a révélé que l'algorithme pouvait être discriminatoire. On a revu la conception avant le déploiement. Sans AIPD, on aurait mis en production un système illégal."
Obtenez votre score cybersécurité en 25 minutes et un plan d'action concret.