Qui mène l’analyse d’impact : le DPO ou le chef de projet ?
Pour qui : Dans votre organisation, chaque analyse d’impact atterrit chez le délégué à la protection des données. Il n’a plus le temps, et les métiers attendent son document pour lancer leur projet.
Le chef de projet rédige, le délégué à la protection des données conseille et vérifie, et le responsable du traitement décide. Les lignes directrices européennes sont claires : c’est au responsable, et non au délégué, de mener l’analyse d’impact.
Faire écrire le document par le délégué crée selon nous un conflit de rôle, puisqu’il en contrôle ensuite l’exécution. Aucun texte lu ne l’interdit expressément. Dans une petite structure sans délégué, un référent rédige, et une relecture extérieure s’ajoute si l’enjeu le demande.
Notre avis
Avant la prochaine analyse, écrivez trois noms : qui rédige, qui donne l’avis, qui décide. Le projet rédige, le délégué conseille et vérifie, une personne habilitée accepte le risque.
Pourquoi
- Pour le groupe européen des autorités, mener l’analyse revient au responsable du traitement et non au délégué. La personne qui la rédige peut être interne ou externe, le responsable en reste comptable.
- Si le délégué rédige, puis vérifie sa propre analyse, l’avis indépendant perd son intérêt. Nous y voyons un conflit de rôle à éviter : c’est un avis, car le texte n’interdit pas expressément ce cas.
- Le chef de projet peut encore modifier le traitement. Une analyse écrite à côté du projet constate des choix déjà faits.
Ce qui change le choix
Sans délégué, un référent peut rédiger. Pour un traitement sensible à l’issue incertaine, ajoutez une relecture extérieure et écrivez ce qu’elle couvre. Si le délégué doit rédiger faute d’autre ressource, écrivez cette tâche dans sa lettre de mission et confiez l’acceptation du risque à une autre personne.
L’ordre à suivre
- Avec délégué : chef de projet rédacteur, sécurité et prestataires en contribution, délégué en avis, direction en décision.
- Sans délégué, enjeu courant : un référent rédige et un second lecteur relit.
- Sans délégué, enjeu lourd : le référent rédige et un regard extérieur relit, avec un périmètre écrit.
Qui fait quoi, avec la source de chaque rôle
La répartition est notre proposition. La colonne de droite distingue ce qui vient d’un texte, d’une doctrine ou de notre avis.
| Personne | Rôle | Appui |
|---|---|---|
| Responsable du traitement, par la direction concernée | S’assure que l’analyse est faite et décide de lancer le traitement. | RGPD, article 35 ; WP248. |
| Chef de projet ou métier | Rédige, décrit le traitement, propose les mesures. | CNIL : les métiers devraient participer. Le rôle de rédacteur est notre avis. |
| Responsable de la sécurité, équipe informatique | Apportent les menaces et mesures. | CNIL : participation idéalement prévue. |
| Sous-traitant | Fournit son aide et les informations nécessaires. | RGPD, article 28 ; CNIL. |
| Délégué à la protection des données | Conseille sur l’opportunité, la méthode et les garanties, puis vérifie l’exécution. | RGPD, articles 35 et 39 ; WP243. |
| Personnes ou leurs représentants | Donnent leur avis le cas échéant. | RGPD, article 35 ; justification écrite sinon, selon WP248. |
Le désaccord entre le délégué et le projet
L’avis du délégué et les décisions du responsable se documentent dans l’analyse. Si le responsable ne suit pas l’avis, WP243 demande de justifier ce choix par écrit. Prévoyez donc un encadré dans le document, avec l’avis, la décision, le décideur et la raison. Le logiciel PIA de la CNIL comporte une page d’avis du délégué, accessible après évaluation de chaque partie. Un fichier fait le même travail : le rôle tient à la séparation entre les personnes.
Lorsque le délégué rédige quand même
Une note de WP243 précise que rien n’empêche de confier au délégué d’autres tâches que celles de l’article 39. L’article 38 demande que ces tâches ne créent pas de conflit d’intérêts. Si vous n’avez personne d’autre, gardez trois garde-fous, qui sont notre recommandation : écrire cette mission dans le contrat ou la lettre de mission, faire valider le contenu par le chef de projet, et laisser à un autre l’acceptation du risque. Si l’analyse repose sur un délégué externe, demandez si la rédaction est incluse dans le forfait ou facturée à part.
Sans délégué, ou avec une équipe réduite
Exemple fictif : une association de 40 salariés sans délégué lance un suivi social de ses bénéficiaires. Sa coordinatrice rédige avec l’éducatrice qui utilisera l’outil, puis son éditeur fournit les informations de sécurité. Une juriste extérieure relit la partie sur la nécessité et la proportionnalité, sur une demi-journée indiquée au devis. Le bureau de l’association décide. La taille change les personnes sans supprimer la séparation entre rédaction, relecture et décision.
Limites de cette page
Nous n’avons lu ni jurisprudence ni doctrine de la CNIL tranchant le cas du délégué rédacteur, ce qui explique que nous parlions d’avis. Les lignes directrices de 2017 sont lues dans leur version archivée par la Commission.
Prochaine action
Pour votre prochaine analyse d’impact, attribuez par écrit la rédaction, l’avis et la décision. Sans délégué, nommez un référent rédacteur et un relecteur ; si le traitement est sensible, écrivez le périmètre d’une relecture extérieure.
Preuves et sources
Lu le 5 novembre 2026 : les articles 35, 38 et 39 du RGPD dans le texte publié par la CNIL ; les lignes directrices sur le délégué (WP243 révisées, section 4.2) et sur l’analyse d’impact (WP248 révisées, section III.D.b) ; la fiche CNIL sur l’analyse d’impact, datée du 18 octobre 2017.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Déclaration de l’éditeur. Les lignes directrices WP243 écrivent qu’il revient au responsable du traitement, et non au délégué, de mener l’analyse d’impact, le délégué pouvant l’assister et conseiller notamment sur l’opportunité, la méthode et les garanties.
Portée : WP243 révisées, section 4.2, version du 30 octobre 2017.
Réserve : Doctrine européenne.
- G29 (archives Commission) : Guidelines on Data Protection Officers ('DPOs'), wp243rev.01 30 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 35 impose au responsable de demander conseil au délégué s’il en a été désigné un, et l’article 39 confie au délégué le conseil sur l’analyse d’impact et la vérification de son exécution.
Portée : Article 35, paragraphe 2 ; article 39, paragraphe 1.
Réserve : Texte reproduit par la CNIL, numéros rétablis.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. WP248 indique que la réalisation de l’analyse peut être confiée à une autre personne, à l’intérieur ou à l’extérieur de l’organisation, le responsable en restant comptable, et que l’avis du délégué et les décisions du responsable se documentent dans l’analyse.
Portée : WP248, section III.D.b.
Réserve : Doctrine européenne.
- G29 (archives Commission) : Guidelines on Data Protection Impact Assessment (DPIA), wp248rev.01 13 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, les métiers, les équipes de mise en œuvre et la personne chargée de la sécurité devraient idéalement participer à l’analyse, et un sous-traitant intervenant dans le traitement fournit son aide et les informations nécessaires.
Portée : Fiche du 18 octobre 2017.
Réserve : Formulation au conditionnel pour les participations internes.
- CNIL : Ce qu'il faut savoir sur l’analyse d’impact relative à la protection des données (AIPD) | CNIL Page affichant 18 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Si le responsable ne suit pas l’avis du délégué, WP243 demande de justifier ce choix par écrit dans la documentation de l’analyse.
Portée : WP243, section 4.2.
Réserve : Doctrine européenne.
- G29 (archives Commission) : Guidelines on Data Protection Officers ('DPOs'), wp243rev.01 30 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Une note de WP243 précise que rien n’empêche de confier au délégué d’autres tâches que celles de l’article 39, et l’article 38 prévoit que ces tâches ne doivent pas entraîner de conflit d’intérêts.
Portée : WP243, note 35 ; RGPD, article 38, paragraphe 6.
Réserve : Ces textes ne visent pas nommément le délégué rédacteur d’analyse.
- G29 (archives Commission) : Guidelines on Data Protection Officers ('DPOs'), wp243rev.01 30 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Notre avis. Considérer que la rédaction de l’analyse par le délégué crée un conflit de rôle, parce qu’il en vérifie ensuite l’exécution, est un avis éditorial : aucune source lue ne l’interdit expressément.
Portée : Organisation interne.
Réserve : Une très petite équipe peut devoir composer, avec les garde-fous écrits sur la page.
- G29 (archives Commission) : Guidelines on Data Protection Officers ('DPOs'), wp243rev.01 30 octobre 2017. Lu le 5 novembre 2026. Document d’origine.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. La CNIL indique que la page d’avis du délégué dans le logiciel PIA devient accessible une fois les parties évaluées et la validation demandée.
Portée : Questions fréquentes de la page du 7 avril 2026.
Réserve : Logiciel non essayé.
- CNIL : Outil PIA : téléchargez et installez le logiciel de la CNIL | CNIL Page datée du 7 avril 2026. Lu le 5 novembre 2026. Document d’origine.