Quand refaire une analyse d’impact ?
Pour qui : Votre traitement a évolué depuis l’analyse d’impact : nouveau prestataire, nouvelles données, volume multiplié. Vous ne savez pas s’il faut la refaire, la compléter ou simplement la relire.
Refaites ou reprenez l’analyse d’impact dès qu’un changement modifie le risque pour les personnes : nouvelle finalité, nouveau prestataire, nouvelles données, volume ou technologie différents. Le RGPD exige cet examen au moins dans ce cas, sans fixer de fréquence.
Ajoutez une date de relecture, car la CNIL demande une revue régulière sans donner de chiffre. Nous suggérons une relecture annuelle comme filet de sécurité, à resserrer si le traitement bouge vite. Il n’existe pas de durée de validité dans le texte.
Notre avis
Écrivez dans chaque analyse les trois événements qui doivent la rouvrir, et une date de relecture. Le déclencheur prime sur la date : un changement de prestataire en mars ne doit pas attendre la relecture de décembre.
Pourquoi
- L’article 35 demande un examen au moins quand le risque change. Il ne prévoit ni périodicité ni durée de validité.
- La CNIL juge aussi nécessaire de revoir l’analyse de manière régulière, sans chiffre. Les lignes directrices européennes parlent de réévaluation régulière. Une date interne répond à cette attente ; sa valeur annuelle reste notre suggestion.
- Une analyse à jour sert en cas d’incident : le Comité européen note qu’elle peut donner une première évaluation du risque, à compléter selon les faits.
Ce qui change le choix
Une évolution rapide du traitement appelle une relecture plus rapprochée que l’année. Un traitement stable peut se contenter d’une relecture courte, conclue par une phrase écrite. Une baisse du risque compte aussi : selon WP248, elle peut montrer que l’analyse n’est plus requise.
L’ordre à suivre
- Un déclencheur a eu lieu et change le risque : reprenez l’analyse avant le changement si vous le pouvez.
- Un changement sans effet sur le risque : notez-le et gardez l’analyse.
- Aucun changement : relecture à la date prévue, conclusion écrite.
Les événements qui rouvrent l’analyse
Les lignes directrices WP248 citent le contexte, les données, les finalités, les fonctionnalités, les destinataires, les combinaisons de données, les risques, les mesures de sécurité et les transferts. La troisième colonne est notre traduction, à reprendre selon votre traitement.
| Changement | Exemple | Geste proposé |
|---|---|---|
| Finalité | Un fichier clients sert aussi à noter les comptes. | Reprise complète : la nécessité et la proportionnalité changent. |
| Prestataire ou hébergeur | Transfert vers un autre fournisseur ou un autre pays. | Reprendre les sections destinataires, transferts et mesures. |
| Données | Ajout de données de santé ou de localisation. | Reprendre les risques et repasser le test des critères. |
| Volume ou population | Passage d’un site pilote à tout le réseau, nouveaux publics vulnérables. | Reprendre les risques, avec la gravité pour les personnes. |
| Décision automatisée | L’outil décide là où un agent décidait. | Reprise complète. |
| Incident ou faille connue | Une violation révèle une menace non prévue. | Reprendre les risques et les mesures. |
| Baisse du risque | Fin de la surveillance systématique. | Vérifier si l’analyse reste requise et écrire la conclusion. |
Reprendre sans tout récrire
Le texte demande d’évaluer si le traitement reste conforme à l’analyse. Aucune phrase lue n’impose de repartir d’une page blanche. Notre méthode tient en deux lignes : gardez la version précédente datée, puis notez dans la nouvelle ce qui change et qui a décidé. Conserver les versions d’une analyse n’est pas une obligation écrite ; nous le conseillons au titre du devoir de démontrer (articles 5 et 24).
Exemple fictif : trois déclencheurs sur une analyse
Exemple fictif : une entreprise de transport analyse le suivi de localisation de sa flotte. Déclencheurs écrits dans le document : changement de fournisseur de boîtiers ; usage des données pour évaluer les conducteurs ; extension aux véhicules utilisés hors des heures de travail. Relecture prévue en octobre de chaque année, confiée au responsable d’exploitation, avec l’avis du délégué. En mars, le fournisseur change : l’analyse se rouvre tout de suite, et la relecture d’octobre se réduit à vérifier le reste.
Le rôle réel d’un outil
Un logiciel peut rappeler une date et garder des versions. Adequacy annonce une mise à jour automatique de l’analyse après modification de la fiche de traitement et un historique des versions : demandez à voir ce qui se met à jour, car nous n’avons rien essayé. Aucun outil ne sait qu’un service a décidé un nouvel usage si personne ne le saisit. Le bon réflexe reste de relier la mise à jour du registre à la question « faut-il rouvrir l’analyse ? ».
Limites de cette page
Le chiffre d’un an est notre suggestion, sans appui dans les textes lus. Les exemples de changement sont illustratifs : un changement qui semble mineur peut modifier le risque selon le contexte.
Prochaine action
Ouvrez votre dernière analyse et écrivez trois événements qui doivent la rouvrir, le nom de la personne qui vous préviendra, et une date de relecture adaptée au rythme du traitement.
Preuves et sources
Lu le 5 novembre 2026 : l’article 35, paragraphe 11, et l’article 24 du RGPD dans le texte publié par la CNIL ; la fiche CNIL sur l’analyse d’impact, datée du 18 octobre 2017 ; les lignes directrices WP248 révisées, sections III.C et III.D ; le point 35 des lignes directrices 9/2022 du Comité européen.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. Si nécessaire, le responsable procède à un examen pour évaluer si le traitement est effectué conformément à l’analyse d’impact, au moins quand il se produit une modification du risque présenté par les opérations de traitement.
Portée : RGPD, article 35, paragraphe 11.
Réserve : Texte reproduit par la CNIL, numéro de paragraphe rétabli. Aucune fréquence dans le passage.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. La CNIL juge nécessaire de revoir une analyse de manière régulière pour s’assurer que le niveau de risque reste acceptable, sans fixer de fréquence dans la fiche lue.
Portée : Fiche du 18 octobre 2017.
Réserve : Aucune périodicité chiffrée dans ce passage.
- CNIL : Ce qu'il faut savoir sur l’analyse d’impact relative à la protection des données (AIPD) | CNIL Page affichant 18 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. WP248 écrit que l’analyse est un processus continu, qu’elle devrait être revue et réévaluée régulièrement, et qu’une nouvelle technologie ou un usage des données pour une autre finalité peut entraîner un changement de risque.
Portée : WP248, sections III.C et III.D.a.
Réserve : Doctrine européenne.
- G29 (archives Commission) : Guidelines on Data Protection Impact Assessment (DPIA), wp248rev.01 13 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. WP248 cite aussi le cas inverse : des évolutions peuvent abaisser le risque et montrer que l’analyse n’est plus requise.
Portée : WP248, section III.C.
Réserve : Doctrine européenne.
- G29 (archives Commission) : Guidelines on Data Protection Impact Assessment (DPIA), wp248rev.01 13 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le Comité européen indique qu’une analyse d’impact peut fournir une première évaluation du risque en cas de violation, à compléter selon les circonstances de l’incident.
Portée : Lignes directrices 9/2022, point 35, version 2.0 du 28 mars 2023.
Réserve : Doctrine européenne.
- CEPD/EDPB : Guidelines 9/2022 on personal data breach notification under GDPR, Version 2.0 28 mars 2023. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Adequacy annonce une mise à jour automatique des analyses d’impact après modification de la fiche de traitement et la conservation de l’historique des versions.
Portée : Page produit de l’éditeur.
Réserve : Non essayé. Portée de la mise à jour non précisée dans le passage.
- adequacy.app : Construisez votre conformité RGPD | Adequacy Start non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Notre avis. La relecture annuelle, les trois déclencheurs et la conservation des versions sont des conseils de cette page : aucun texte lu ne fixe de périodicité ni n’impose d’archiver les versions d’une analyse.
Portée : Articles 5, 24 et 35 ; fiche CNIL.
Réserve : À ajuster selon le rythme du traitement.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : CHAPITRE II - Principes | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Notre calcul ou déduction. Un outil ne découvre pas seul un nouvel usage décidé dans un service, sauf intégration ou saisie : le réexamen dépend d’abord du circuit d’information.
Portée : Déduction de la nature du réexamen.
Réserve : Aucun logiciel n’a été essayé.
- CNIL : Ce qu'il faut savoir sur l’analyse d’impact relative à la protection des données (AIPD) | CNIL Page affichant 18 octobre 2017. Lu le 5 novembre 2026. Document d’origine.