Qu’est-ce qu’une analyse d’impact relative à la protection des données (AIPD, DPIA ou AIVP) ? Dans quels cas doit-on y avoir recours, et comment ?

Cette FAQ publie les questions qui nous ont été adressées dans le cadre de nos activités (→ voir Qui sommes-nous ?), et les réponses que nous y avons apportées en nous appuyant sur la réglementation en vigueur. La tonalité souvent normative de ces billets ne doit cependant pas décourager le débat sur les conditions d’application de ces règles : n’hésitez pas à les commenter !

Nous renvoyons les lecteurs aux fiches très synthétiques de la CNIL sur le sujet.

En quelques mots

Pour se conformer à la réglementation en matière de protection des données personnelles (RGPD1, LIL2 ), l’AIPD est obligatoire pour les traitements susceptibles d’engendrer des risques élevés pour les personnes, et doit être menée avant la mise en œuvre du traitement. Elle s’impose notamment si votre traitement de données personnelles répond à au moins deux de ces critères :

  • évaluation d’aspects personnels ou notation d’une personne (exemple : scoring financier) ;
  • prise de décision automatisée ;
  • surveillance systématique de personnes (exemple : télésurveillance) ;
  • traitement de données sensibles (→ voir “Que sont les données personnelles sensibles ? Peut-on les traiter ?”) ;
  • traitement de données concernant des personnes vulnérables (voir ci-dessous “Focus sur les populations vulnérables”) ;
  • traitement à grande échelle de données personnelles ;
  • croisement d’ensembles de données ;
  • usages innovants ou l’application de nouvelles technologies (exemple : objet connecté) ;
  • exclusion du bénéfice d’un droit, d’un service ou contrat (exemple : liste noire).

L’AIPD est réalisée par le responsable du traitement (→ voir “Qui est le responsable de traitement et quel est son rôle ?”) et le responsable scientifique par délégation, en lien avec le délégué à la protection des données (DPD ou DPO) et le responsable de la sécurité des systèmes d’information. Cela requiert du temps et une certaine implication de l’équipe de recherche.

Pour la réaliser, plusieurs supports peuvent vous aider :

Focus sur les populations vulnérables

Certaines données personnelles renseignent des “populations vulnérables”. Ces populations ne sont pas explicitement définies par le RGPD ni par la LIL, mais on comprend qu’il s’agit de personnes pour lesquelles il est moins évident de faire valoir ses droits – telles que :

  • les enfants de moins de 15 ans ;
  • les personnes âgées ;
  • les personnes souffrant de maladie mentale ;
  • les salariés enquêtés sur leur établissement professionnel ;
  • les prisonniers ;
  • les réfugiés et demandeurs d’asile ;
  • les patients dans un établissement médical ;

Notes

  1. Règlement Général sur la Protection des Données Personnelles (RGPD) du 27 avril 2016 – voir la version en vigueur []
  2. Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (LIL) – voir la version en vigueur []

OpenEdition vous propose de citer ce billet de la manière suivante :
Aliette ROUX (14 octobre 2022). Qu’est-ce qu’une analyse d’impact relative à la protection des données (AIPD, DPIA ou AIVP) ? Dans quels cas doit-on y avoir recours, et comment ? So MSH ! Consulté le 21 avril 2026 à l’adresse https://doi.org/10.58079/ugfu


Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

This site uses Akismet to reduce spam. Learn how your comment data is processed.