Aller au contenu principal
Quel logiciel RGPD

Devez-vous faire une analyse d’impact ?

Pour qui : Vous lancez un nouveau traitement de données : un outil de recrutement, un suivi de flotte, un croisement de fichiers. Quelqu’un demande s’il faut une analyse d’impact, et personne ne sait répondre.

Oui, si le traitement figure sur la liste de la CNIL ou s’il remplit au moins deux des neuf critères européens. L’analyse d’impact, ou AIPD, est l’étude des risques pour les personnes menée avant de lancer un traitement. Elle est obligatoire quand le traitement est susceptible d’engendrer un risque élevé pour leurs droits et libertés.

Non, si le traitement entre strictement dans la liste d’exemptions, ou s’il ne remplit aucun critère. Dans les deux cas, écrivez le résultat sur une page. Aucun logiciel n’est utile pour ce tri.

Notre avis

Tranchez avant le lancement, en une page : liste d’exemptions, liste de la CNIL, puis les neuf critères. À partir de deux critères, faites l’analyse. Écrivez la conclusion, même négative.

Pourquoi

  • L’article 35 vise le risque du traitement, et aucun seuil de taille n’y figure : une petite structure peut être concernée, un grand groupe peut ne pas l’être pour un fichier courant.
  • La CNIL écrit « au moins deux des neuf critères ». Les lignes directrices européennes disent « dans la plupart des cas ». Nous prenons la version la plus ferme comme règle de départ en France.
  • Le logiciel PIA de la CNIL aide à conduire l’analyse sans dire si elle est requise. Cette décision reste à prendre avant d’ouvrir un outil.

Ce qui change le choix

Un seul critère peut suffire : la CNIL demande l’analyse si vous estimez que le traitement présente malgré tout un risque élevé, par exemple parce que les conséquences pour les personnes seraient graves. À l’inverse, plusieurs critères peuvent ne pas conduire à une analyse si vous justifiez par écrit l’absence de risque élevé, avec l’avis du délégué s’il existe. Nous déconseillons d’user de cette marge sans raison précise.

L’ordre à suivre

  1. Le traitement entre strictement dans une ligne de la liste d’exemptions : pas d’analyse pour ce type.
  2. Il figure sur la liste de la CNIL : faites l’analyse.
  3. Il remplit au moins deux critères : faites l’analyse, sauf justification écrite solide.
  4. Il en remplit un : regardez la gravité pour les personnes, et faites-la en cas de doute.
  5. Aucun critère : pas d’analyse, conclusion écrite dans la fiche.

Le tri en quatre lectures, dans cet ordre

Commencez par l’exemption : elle clôt la question plus vite. Les critères viennent en dernier, car ils demandent un jugement.

  1. Cherchez le traitement dans la liste d’exemptions de la CNIL (douze types). RGPD, article 35, paragraphe 5. Vous devez rester strictement dans les limites de la ligne.
  2. Cherchez-le dans la liste des traitements requérant une analyse (quatorze types), en lisant les exemples de la colonne de droite. RGPD, article 35, paragraphe 4 ; délibération CNIL du 11 octobre 2018.
  3. Vérifiez les trois cas du texte : évaluation systématique menant à des décisions, données sensibles ou d’infraction à grande échelle, surveillance à grande échelle d’une zone publique. RGPD, article 35, paragraphe 3.
  4. Comptez les critères du tableau ci-dessous. Lignes directrices WP248, reprises par la CNIL.

Les neuf critères, avec la question à poser au projet

La formulation des questions est la nôtre. Les critères viennent de WP248 et de la fiche de la CNIL.

Neuf critères pour une présomption
CritèreQuestion au chef de projet
Évaluation ou notation, profilage comprisAttribuez-vous un score ou un profil aux personnes ?
Décision automatique à effet juridique ou similaireUne machine décide-t-elle seule d’un droit ou d’un contrat ?
Surveillance systématiqueObservez-vous des personnes de façon continue ?
Données sensibles ou hautement personnellesY a-t-il santé, opinions, localisation, données financières ?
Grande échelleQuel volume, quelle durée, quelle zone géographique ?
Croisement de donnéesCombinez-vous des fichiers créés pour d’autres usages ?
Personnes vulnérablesS’agit-il de patients, d’enfants, de salariés face à leur employeur ?
Usage innovantUtilisez-vous une technologie dont les effets restent mal connus ?
Exclusion d’un droit ou d’un contratLe résultat peut-il priver quelqu’un d’un service ?

Exemple fictif : le logiciel de tri des candidatures

Exemple fictif : une PME de 80 salariés veut classer ses CV avec un algorithme. La gestion du personnel de moins de 250 personnes est exemptée, sauf profilage : la ligne ne couvre donc pas ce projet. La liste de la CNIL vise les traitements établissant des profils à des fins de ressources humaines et donne pour exemple le recrutement « grâce à un algorithme de sélection ». Conclusion : analyse requise, sans même compter les critères. Le nombre de salariés ne change rien.

La fiche d’une page à conserver

Le texte n’impose pas ce format. Les lignes directrices demandent de justifier et de documenter le choix de ne pas faire d’analyse lorsqu’un traitement remplit les critères, avec l’avis du délégué. Notre avis : gardez la même fiche pour tous les projets, car un refus écrit se relit quand le projet change. Notez le traitement, la ligne d’exemption ou de liste vérifiée, les critères cochés, la conclusion, le nom de la personne qui décide, la date et l’avis du délégué s’il en existe un. En cas de doute, la CNIL recommande de faire l’analyse.

Le projet Digital Omnibus ne change pas ce tri aujourd’hui

Ce projet européen prévoit des listes uniques au niveau de l’Union. Dans le mandat du Conseil du 21 octobre 2026, le Comité européen les établirait, et les listes nationales resteraient valables jusque-là. Au 5 novembre 2026, le texte n’est pas adopté et la fiche du Parlement européen indique « Awaiting committee decision ». Les listes de la CNIL restent votre référence.

Limites de cette page

Le RGPD a été lu dans le texte publié par la CNIL, qui n’affiche pas les numéros de paragraphe. La fiche de la CNIL date de 2017 et n’a pas été comparée à d’éventuelles publications plus récentes hors de ces pages. Pour un traitement sensible au résultat incertain, faites relire la fiche par votre délégué ou un conseil avant le lancement.

Prochaine action

Prenez votre prochain projet et remplissez la fiche : ligne d’exemption vérifiée, ligne de la liste CNIL, critères cochés, conclusion, décideur, date. Si le traitement est exempté, notez la ligne exacte et ses limites.

Preuves et sources

Lu le 5 novembre 2026 : l’article 35 du RGPD dans le texte publié par la CNIL ; la fiche CNIL sur l’analyse d’impact, datée du 18 octobre 2017 ; ses listes des traitements requérant ou non une analyse (délibérations de 2018 et 2019) ; les lignes directrices européennes WP248 révisées du 13 octobre 2017 ; le mandat du Conseil de l’Union sur le projet Digital Omnibus.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode