Aller au contenu principal
Quel logiciel RGPD

Que doit contenir une analyse d’impact, au minimum ?

Pour qui : Vous devez rédiger une analyse d’impact sans modèle imposé. Vous cherchez le contenu exigé, et ce que vous pouvez raisonnablement laisser de côté.

Quatre éléments au minimum, selon l’article 35 du RGPD : une description du traitement et de ses finalités, une évaluation de sa nécessité et de sa proportionnalité, une évaluation des risques pour les personnes, et les mesures prévues pour y faire face.

Le texte n’impose ni format ni longueur, et le choix de la méthode vous revient. Commencez par un paragraphe honnête par élément sur un traitement réel. Vous verrez vite ce qui manque, et vous saurez si un modèle ou un outil peut vous aider.

Notre avis

Écrivez d’abord un paragraphe par élément obligatoire, pour un traitement réel. Si l’élément « risques » tient en une phrase générale, votre analyse n’est pas finie, quelle que soit sa longueur.

Pourquoi

  • L’article 35, paragraphe 7, liste quatre éléments et ne fixe ni format ni nombre de pages.
  • La CNIL rappelle que le responsable choisit sa méthode, qui devrait respecter l’annexe 2 des lignes directrices européennes. Un éditeur ne peut donc pas présenter son gabarit comme une condition légale.
  • La partie que nous jugeons la plus utile est le lien entre chaque risque et une mesure identifiée. Il oblige à décider, et se relit lors d’un changement.

Ce qui change le choix

Plus le traitement est complexe, plus chaque risque appelle ses propres mesures. Le paragraphe unique ne suffit plus dès que plusieurs événements redoutés demandent des réponses différentes.

Les quatre éléments et le contrôle à faire sur chacun

La deuxième colonne reprend le texte. La troisième est la méthode de relecture que nous proposons, inspirée de l’annexe 2 de WP248.

Contenu minimal de l’article 35, paragraphe 7
ÉlémentCe que dit le texteTest de relecture
DescriptionDescription systématique des opérations et des finalités, avec l’intérêt légitime s’il y a lieu.Données, destinataires, durées, outils et prestataires sont-ils nommés ?
Nécessité et proportionnalitéÉvaluation au regard des finalités.Avez-vous écrit pourquoi cette donnée, cette durée et ce moyen, et ce qui a été écarté ?
RisquesÉvaluation des risques pour les droits et libertés des personnes.Chaque risque porte-t-il une gravité pour les personnes et une vraisemblance, avec leur justification ?
MesuresGaranties, mesures et mécanismes de sécurité pour traiter les risques et apporter la preuve du respect du règlement.Chaque risque renvoie-t-il à une mesure en place ou datée, avec un responsable ?

La gravité se mesure du côté des personnes

La CNIL définit un risque comme un scénario : un événement redouté et les menaces qui permettraient qu’il survienne. Elle précise que la gravité s’évalue pour les personnes concernées, sans prendre l’organisme comme référence. Une fuite gênante pour votre image et sans effet sur les clients n’a pas le même poids qu’une fuite banale pour vous et lourde pour eux. C’est le premier point à relire dans un document rédigé à la hâte.

Ce qui s’ajoute selon votre situation

Trois mentions complètent le contenu sans faire partie des quatre éléments. Le conseil du délégué à la protection des données, s’il en a été désigné un, est demandé par l’article 35. L’avis des personnes ou de leurs représentants est demandé « le cas échéant » : WP248 invite à documenter la raison lorsque vous ne le recueillez pas. Enfin, l’annexe 2 de WP248 cite aussi les droits des personnes, les sous-traitants et les transferts dans ce qui doit être passé en revue.

Exemple fictif : un paragraphe de risque suffisant ou non

Exemple fictif : un réseau de crèches envisage un portail parents. Version insuffisante : « Risque de fuite faible, mesures de sécurité en place. » Version utilisable : « Accès d’un tiers au dossier d’un enfant par réutilisation d’un mot de passe parent. Gravité pour la famille importante, car le dossier contient des informations de santé. Vraisemblance moyenne, car les comptes reposent sur un seul mot de passe. Mesure : double authentification à l’ouverture, responsable nommé, date prévue. » Les niveaux choisis ici sont illustratifs : ils se discutent et se justifient pour votre cas.

Modèle ou logiciel : ce qui aide, et à partir de quand

Le logiciel PIA de la CNIL déroule sa méthode pas à pas et il est gratuit. Le Comité européen a annoncé le 14 avril 2026 un modèle, adopté le 10 mars pour consultation jusqu’au 9 juin, en précisant qu’il n’est pas obligatoire. Aucun ne rédige l’évaluation à votre place. Faites le premier paragraphe à la main, puis choisissez : si vous n’avez qu’une analyse et un seul rédacteur, le logiciel PIA ou un document suffit.

Limites de cette page

Cette page porte sur le contenu minimal. Elle ne remplace pas la lecture des guides de la CNIL sur la méthode, ni l’avis d’une personne compétente en sécurité pour le traitement concerné. Le statut final du modèle européen n’a pas été trouvé dans nos lectures du 5 novembre 2026 : vérifiez-le avant de l’adopter comme gabarit interne.

Prochaine action

Prenez un traitement réel et écrivez un paragraphe par élément. Relisez-les avec le test du tableau. Si le traitement est complexe, passez à une ligne par risque avec sa mesure et son responsable.

Preuves et sources

Lu le 5 novembre 2026 : les paragraphes 2, 7 et 9 de l’article 35 du RGPD dans le texte publié par la CNIL ; la fiche CNIL sur l’analyse d’impact, datée du 18 octobre 2017 ; l’annexe 2 des lignes directrices WP248 révisées ; la page CNIL du logiciel PIA et l’annonce du modèle européen du 14 avril 2026.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode