Aller au contenu principal
Quel logiciel RGPD

Quand consulter la CNIL après une analyse d’impact ?

Pour qui : Votre analyse d’impact est écrite et le niveau de risque reste discutable après les mesures. Vous devez décider s’il faut saisir la CNIL, et ce que cela fait au calendrier du projet.

Consultez la CNIL si votre analyse d’impact montre un risque résiduel qui reste élevé, c’est-à-dire le risque subsistant après vos mesures, ou si un texte national l’impose. Faites-le avant de commencer le traitement. Hors de ces cas, aucune transmission n’est prévue : la CNIL précise que vous n’avez pas à la consulter.

Avant d’en arriver là, cherchez à réduire ce risque. Lorsque la consultation s’impose, comptez huit semaines, prolongeables de six, et un possible arrêt du compteur si la CNIL demande des informations.

Notre avis

Écrivez le risque résiduel avant de parler de consultation. Tant qu’une mesure raisonnable peut encore le réduire, travaillez-la. Si rien ne suffit, consultez avant le lancement et inscrivez quatorze semaines au planning.

Pourquoi

  • L’analyse n’a pas à être transmise à la CNIL dans le cas ordinaire : elle reste dans votre dossier. Selon WP248, l’analyse complète se communique en cas de consultation ou si l’autorité la demande.
  • La consultation engage le calendrier : huit semaines, prolongeables de six, avec suspension possible en attendant des informations.
  • Aucune fonction logicielle ne prend cette décision ni ne remplace la saisine. Elle se prend sur un jugement écrit et assumé.

Ce qui change le choix

Le droit national peut imposer la consultation pour certains traitements de mission d’intérêt public, protection sociale ou santé publique. Si votre traitement relève de la directive Police-Justice, la CNIL indique aussi un cas de transmission lié à de nouveaux mécanismes. Vérifiez ces deux hypothèses avec votre délégué ou un conseil.

L’ordre à suivre

  1. Risque résiduel réduit à un niveau acceptable : pas de consultation, décision écrite dans l’analyse.
  2. Risque encore élevé mais réductible : reprenez les mesures ou le périmètre du projet.
  3. Risque encore élevé et aucune mesure suffisante : consultez avant de lancer le traitement.

Reconnaître un risque résiduel trop élevé

Les lignes directrices WP248 donnent deux repères. Les personnes risquent des conséquences importantes, voire irréversibles, qu’elles ne pourraient surmonter : menace pour leur vie, licenciement, mise en péril financière après un accès illégitime. Ou bien le risque paraît certain de se réaliser, par exemple parce que le nombre de personnes ayant accès aux données ne peut être réduit, ou parce qu’une faille connue n’est pas corrigée.

Le mot décisif reste « résiduel ». Un traitement à risque élevé avant mesures ne se consulte pas s’il est ramené à un niveau acceptable. WP248 prend l’exemple de données sur des ordinateurs portables, protégées par un chiffrement du disque et une gestion des clés.

Réduire avant de saisir : quatre questions

Notre avis : relisez l’analyse avec ces questions avant toute saisine. Elles visent le périmètre du projet.

  1. Cette donnée précise est-elle nécessaire, ou un niveau moins détaillé suffirait-il ? Minimisation, RGPD, article 5.
  2. Le nombre de personnes qui accèdent aux données peut-il baisser ? Repère de WP248 sur le risque certain.
  3. La durée de conservation peut-elle être raccourcie ? Limitation de la conservation, RGPD, article 5.
  4. Le risque restant a-t-il été accepté par écrit, par quelqu’un qui en a le pouvoir ? Notre méthode, appuyée sur la validation prévue par la méthode de la CNIL.

Ce que la consultation fait au planning

L’article 36 fixe un délai maximal de huit semaines à compter de la réception de la demande, prolongeable de six selon la complexité. La CNIL informe de la prolongation et de ses motifs dans le mois. Les délais peuvent être suspendus jusqu’à l’obtention des informations demandées. L’avis écrit n’est prévu que si l’autorité estime que le traitement constituerait une violation du règlement. Nous n’avons pas lu de règle disant que le silence vaudrait accord : ne le présumez pas sans conseil.

Exemple fictif : une mise en service prévue le 1er mars 2027. Hypothèse : délai maximal de quatorze semaines, soit 98 jours, sans suspension. Dépôt au plus tard le 23 novembre 2026, à condition que l’analyse soit terminée à cette date. Toute demande d’informations décale ce calcul.

Le contenu du dossier de consultation

Le paragraphe 3 de l’article 36 liste ce que vous communiquez : responsabilités respectives du responsable, des responsables conjoints et des sous-traitants ; finalités et moyens ; mesures et garanties ; coordonnées du délégué s’il existe ; l’analyse d’impact ; toute autre information demandée. La fiche de la CNIL renvoie à un envoi par internet. Préparez ces pièces pendant la rédaction de l’analyse.

Limites de cette page

Nous n’avons pas relu le droit français qui pourrait imposer une consultation pour certains traitements, faute d’accès à Légifrance dans notre lecture. Le calcul de 98 jours n’intègre aucune suspension. Pour un projet dont la date ne peut bouger, parlez-en tôt avec votre délégué ou un conseil.

Prochaine action

Écrivez le risque résiduel de votre traitement, risque par risque, et la personne qui l’accepte. S’il reste élevé sans mesure possible, ajoutez quatorze semaines au planning avant la mise en service ; si un texte national est en cause, vérifiez-le d’abord.

Preuves et sources

Lu le 5 novembre 2026 : l’article 36 du RGPD dans le texte publié par la CNIL ; la fiche CNIL sur l’analyse d’impact, datée du 18 octobre 2017 ; la section III.E des lignes directrices WP248 révisées du 13 octobre 2017.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. Le responsable consulte l’autorité de contrôle préalablement au traitement lorsque l’analyse d’impact indique que le traitement présenterait un risque élevé si aucune mesure n’était prise pour atténuer le risque.

    Portée : RGPD, article 36, paragraphe 1.

    Réserve : Texte reproduit par la CNIL. La lecture en risque résiduel vient de la CNIL et de WP248.

  • Déclaration de l’éditeur. Selon la CNIL, une analyse relevant du RGPD se transmet si le risque résiduel reste élevé ou si la législation nationale l’exige, et en dehors de ces cas le responsable n’a pas à consulter la CNIL.

    Portée : Fiche du 18 octobre 2017 ; WP248, section III.D.d, pour la communication à la demande de l’autorité.

    Réserve : La fiche indique des cas distincts pour la directive Police-Justice.

  • Déclaration de l’éditeur. WP248 retient comme exemple de risque résiduel élevé inacceptable des conséquences importantes ou irréversibles que les personnes ne pourraient surmonter, ou un risque qui paraît certain de se réaliser, et demande la consultation lorsqu’aucune mesure suffisante n’est trouvée.

    Portée : WP248, section III.E.

    Réserve : Exemples, sans valeur de liste fermée.

  • Fait lu. Lorsqu’elle estime que le traitement envisagé constituerait une violation du règlement, l’autorité fournit un avis écrit dans un délai maximum de huit semaines, prolongeable de six selon la complexité, avec information dans le mois et suspension possible en attendant les informations demandées.

    Portée : RGPD, article 36, paragraphe 2.

    Réserve : Texte reproduit par la CNIL.

  • Fait lu. L’article 36 liste les informations communiquées à l’autorité, dont l’analyse d’impact, les finalités et moyens, les mesures et garanties et, s’il existe, les coordonnées du délégué.

    Portée : RGPD, article 36, paragraphe 3.

    Réserve : Texte reproduit par la CNIL.

  • Fait lu. Le droit d’un État membre peut exiger une consultation et une autorisation préalable pour un traitement exercé dans le cadre d’une mission d’intérêt public, y compris la protection sociale et la santé publique.

    Portée : RGPD, article 36, paragraphe 5.

    Réserve : Le droit français correspondant n’a pas été relu.

  • Notre calcul ou déduction. Avec une mise en service au 1er mars 2027 et un délai maximal de quatorze semaines, soit 98 jours, sans suspension, le dépôt se situe au plus tard le 23 novembre 2026.

    Portée : Exemple fictif, calcul refait du 23 novembre 2026 au 1er mars 2027.

    Réserve : Toute suspension décale le calcul.

  • Notre avis. Les quatre questions de réduction du risque et la recommandation de les poser avant toute saisine sont un avis éditorial, sans valeur légale.

    Portée : Décision de consulter.

    Réserve : Elles ne remplacent pas l’appréciation du responsable.

    Daté du 5 novembre 2026.