Quels traitements sont dispensés d’analyse d’impact ?
Pour qui : Vous êtes référent ou responsable RH et vous voulez éviter une analyse d’impact inutile sur la paie, les fournisseurs ou les adhérents. Vous cherchez la ligne exacte qui vous dispense, sans vous tromper de périmètre.
La CNIL dispense douze types de traitements d’analyse d’impact, l’étude des risques préalable au lancement : personnel de moins de 250 personnes sans profilage, fournisseurs, fichier électoral, comités d’entreprise, membres et donateurs, cabinets de santé et avocats à titre individuel, greffiers, notaires, services scolaires, contrôle d’accès et horaires, éthylotests.
La dispense suppose de rester dans la ligne. Si vous en sortez, la question se rouvre sans que l’analyse devienne automatique. Toutes vos autres obligations restent dues : la CNIL le rappelle en tête de sa liste.
Notre avis
Servez-vous de cette liste comme d’un pointage : traitement, ligne, limite vérifiée. Tant que vous restez dans la ligne, ne faites pas d’analyse et n’achetez aucun outil pour ce traitement.
Pourquoi
- Une organisation dont tous les traitements entrent dans ces lignes n’a aucune analyse à conduire au titre de ces traitements. Un module payant ne lui servirait à rien.
- Le nom du traitement trompe : le contrôle du temps de travail est dispensé sans biométrie et sans données sensibles ; il ne l’est plus avec une badgeuse à empreinte.
- Quitter une ligne n’entraîne pas à lui seul l’obligation. La CNIL écrit que sa liste n’est pas exhaustive. Il faut alors repasser au test général.
Ce qui change le choix
Passage à 250 personnes, ajout d’un scoring des salariés, d’un contrôle biométrique ou de données sensibles sur les membres d’une association. Refaites le pointage à ce moment.
L’ordre à suivre
- Le traitement entre strictement dans une ligne : notez-la et n’ouvrez aucun outil d’analyse pour lui.
- Il dépasse une limite de la ligne : repassez au test général.
- Il ne figure nulle part : il peut quand même être dispensé s’il ne présente pas de risque élevé. Faites le test et écrivez le résultat.
Les douze lignes et la limite à vérifier
Les libellés sont resserrés. Ouvrez le PDF de la CNIL avant de noter une ligne : ses exemples précisent ce qui est couvert.
| Type de traitement | Limite à contrôler |
|---|---|
| Gestion du personnel, à seules fins RH | Moins de 250 personnes employées, sans profilage. Messagerie et téléphonie sans profilage ni biométrie. |
| Relation fournisseurs | Opérations administratives, comptes fournisseurs, sélections et documentation. |
| Fichier électoral des communes | Dans les conditions prévues par les textes. |
| Comités d’entreprise et d’établissement | Activités décrites : programmes, formation des élus, droit d’alerte, agendas, membres. |
| Membres et donateurs d’une association, d’une fondation ou d’une institution sans but lucratif | Activités habituelles, données non sensibles. |
| Santé, prise en charge par un professionnel à titre individuel | Cabinet médical, officine ou laboratoire, professionnel exerçant seul. |
| Avocats | Exercice à titre individuel, gestion des clients. |
| Greffiers des tribunaux de commerce | Exercice de leur activité. |
| Notaires | Activité notariale et rédaction d’actes. |
| Services scolaires, périscolaires et petite enfance | Collectivités et personnes morales gérant ces services. |
| Contrôle d’accès physique et horaires | Sans biométrie, sans données sensibles ou hautement personnelles, à seules fins d’accès et de calcul du temps de travail. |
| Éthylotests antidémarrage | Strictement encadrés par un texte, activités de transport. |
Gestion du personnel : le seuil et ses sorties
En dessous de 250 personnes, la paie, les formations, le remboursement de frais, le suivi des entretiens annuels et le contrôle du temps de travail sans biométrie sont dispensés. La ligne cesse de jouer dans trois cas : effectif de 250 personnes ou plus, recours au profilage, usage qui dépasse la seule gestion du personnel.
À partir de 250 personnes, la paie n’est plus couverte par la ligne, mais rien dans les listes de la CNIL ne rend pour autant son analyse obligatoire. Repassez au test et écrivez le résultat. Ce seuil est distinct de celui du registre : ne le lisez jamais comme une dispense de registre.
La surveillance se juge à part. La liste inverse vise les traitements surveillant de manière constante l’activité des employés, avec pour exemples l’analyse des courriels sortants et certaines vidéosurveillances. Cette ligne ne pose aucune condition d’effectif.
Deux lignes à ne pas étendre
Deux lignes visent l’exercice à titre individuel : les avocats et la prise en charge en santé. Elles ne parlent pas d’une structure groupée. Ne les étendez pas à un cabinet de plusieurs associés sans passer au test.
La ligne des associations exclut les données sensibles. Une association dont les fiches révèlent la santé ou les convictions de ses membres doit repasser au test, même si son fichier ressemble à un simple annuaire.
Un traitement absent de la liste
L’absence ne vaut pas obligation. La CNIL précise que des traitements non listés peuvent ne pas demander d’analyse quand ils ne présentent pas de risque élevé, parce qu’ils ne répondent à aucun des critères européens. La fiche de la CNIL sur l’analyse d’impact ajoute deux cas. Un traitement dont la nature, la portée, le contexte et les finalités sont très similaires à un traitement déjà analysé n’en demande pas de nouvelle : notez la référence de cette analyse. Un traitement fondé sur une obligation légale ou une mission de service public en est aussi dispensé quand le texte qui le prévoit encadre ce traitement et a déjà donné lieu à une analyse lors de son adoption (article 35, paragraphe 10) : vérifiez ces conditions avant de vous en prévaloir.
Votre pointage comporte donc cinq sorties : ligne trouvée, traitement très similaire déjà analysé, texte analysé lors de son adoption, test négatif écrit, analyse à conduire.
Limites de cette page
La liste a été lue dans le PDF de la CNIL, sans le texte de la délibération sur Légifrance, inaccessible à notre lecture. Elle peut être remplacée si le projet Digital Omnibus aboutit à une liste européenne, ce qui n’est pas le cas au 5 novembre 2026. Si votre activité frôle une limite (effectif autour de 250, cabinet partagé), écrivez votre raisonnement et faites-le relire.
Prochaine action
Listez vos traitements courants et notez en face de chacun la ligne qui le dispense, la limite vérifiée et la date. Pour tout traitement sans ligne ou sorti d’une limite, vérifiez d’abord s’il reprend un traitement déjà analysé, sinon passez au test général et écrivez le résultat.
Preuves et sources
Lu le 5 novembre 2026 : le PDF de la liste de la CNIL des traitements sans analyse requise, en entier ; sa présentation par la CNIL du 9 octobre 2019 ; la liste inverse issue de la délibération du 11 octobre 2018 ; le passage des lignes directrices WP248 sur la liste facultative.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. La CNIL a adopté le 12 septembre 2019 une liste de douze types d’opérations de traitement pour lesquels elle n’estime pas obligatoire de réaliser une analyse d’impact, liste qui n’est pas exhaustive.
Portée : Présentation CNIL du 9 octobre 2019 et PDF de la liste.
Réserve : Délibération n° 2019-118 lue à travers ces documents.
- CNIL : Analyse d’impact relative à la protection des données : publication d’une liste des traitements pour lesquels une analyse n’est pas requise | CNIL Lu le 5 novembre 2026. Document d’origine.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Lu le 5 novembre 2026. Document d’origine.
Fait lu. La liste de la CNIL vise les traitements mis en œuvre uniquement à des fins de ressources humaines pour la seule gestion du personnel des organismes employant moins de 250 personnes, à l’exception du recours au profilage, avec pour exemples la paie, les formations, le contrôle du temps de travail sans biométrie et le suivi des entretiens annuels.
Portée : Première ligne du PDF.
Réserve : Libellé abrégé.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL indique que la présence sur la liste ne dispense pas le responsable de ses autres obligations et que les traitements exonérés doivent faire l’objet d’une évaluation de leur conformité.
Portée : Préambule du PDF.
Réserve : Doctrine de la CNIL.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Les lignes directrices WP248 écrivent que l’analyse n’est pas requise pour un traitement de la liste facultative à condition qu’il reste strictement dans le cadre de la procédure listée et continue de respecter pleinement le RGPD.
Portée : Section III.B, 13 octobre 2017.
Réserve : Doctrine européenne.
- G29 (archives Commission) : Guidelines on Data Protection Impact Assessment (DPIA), wp248rev.01 13 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL précise que des traitements absents de sa liste peuvent ne pas nécessiter d’analyse lorsqu’ils ne présentent pas de risque élevé parce qu’ils ne répondent à aucun des critères du G29.
Portée : Présentation du 9 octobre 2019.
Réserve : Doctrine de la CNIL.
- CNIL : Analyse d’impact relative à la protection des données : publication d’une liste des traitements pour lesquels une analyse n’est pas requise | CNIL Lu le 5 novembre 2026. Document d’origine.
Fait lu. La liste de la CNIL des traitements requérant une analyse vise la surveillance constante de l’activité des employés, avec pour exemples un dispositif analysant les courriels sortants et la vidéosurveillance d’employés manipulant de l’argent.
Portée : Liste issue de la délibération du 11 octobre 2018.
Réserve : Exemples non limitatifs.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. À partir de 250 personnes, un traitement de gestion du personnel sort de la ligne d’exemption sans devenir de ce seul fait soumis à l’analyse : il faut appliquer le test général.
Portée : Lecture croisée des deux listes.
Réserve : Déduction : aucun texte lu ne formule cette phrase.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Lu le 5 novembre 2026. Document d’origine.
- CNIL : Analyse d’impact relative à la protection des données : publication d’une liste des traitements pour lesquels une analyse n’est pas requise | CNIL Lu le 5 novembre 2026. Document d’origine.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Les lignes visant les avocats et la prise en charge en santé portent sur l’exercice à titre individuel, ce qui conduit à ne pas les étendre sans analyse à une structure groupée.
Portée : Libellés du PDF.
Réserve : Déduction du libellé. Une structure peut relever d’une conclusion négative au test général.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la fiche de la CNIL sur l’analyse d’impact, une analyse n’est pas nécessaire lorsque la nature, la portée, le contexte et les finalités du traitement envisagé sont très similaires à un traitement pour lequel une analyse a déjà été menée.
Portée : Fiche CNIL, rubrique « Quand est-ce qu’une analyse d’impact n’est pas obligatoire ? ».
Réserve : Doctrine de la CNIL. La similarité s’apprécie traitement par traitement.
- CNIL : Ce qu'il faut savoir sur l’analyse d’impact relative à la protection des données (AIPD) | CNIL Page affichant 18 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Les paragraphes 1 à 7 de l’article 35 ne s’appliquent pas à un traitement fondé sur une obligation légale ou une mission d’intérêt public, lorsque ce traitement a une base juridique dans le droit de l’Union ou d’un État membre qui le réglemente et qu’une analyse d’impact a déjà été effectuée lors de l’adoption de cette base juridique, sauf si l’État membre estime une analyse nécessaire.
Portée : RGPD, article 35, paragraphe 10, repris par la fiche CNIL.
Réserve : Texte reproduit par la CNIL, numéro de paragraphe rétabli. L’existence d’une analyse lors de l’adoption du texte se vérifie au cas par cas.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Ce qu'il faut savoir sur l’analyse d’impact relative à la protection des données (AIPD) | CNIL Page affichant 18 octobre 2017. Lu le 5 novembre 2026. Document d’origine.