DPIA (Analyse d'Impact RGPD)

Qu'est-ce qu'une DPIA (Analyse d'Impact relative à la Protection des Données) ?

La DPIA (Data Protection Impact Assessment), traduite en français par AIPD, est une démarche formalisée imposée par l'article 35 du RGPD. Elle s'applique aux traitements de données personnelles susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes concernées. Son objectif est double : documenter la conformité du traitement et identifier, en amont, les mesures techniques et organisationnelles permettant de ramener les risques résiduels à un niveau acceptable.

Contrairement à une simple checklist réglementaire, la DPIA est un exercice d'analyse de risque orienté personne concernée. Là où une analyse de risque classique (EBIOS RM, ISO 27005) protège l'organisation contre les impacts métier, la DPIA inverse la perspective : elle mesure ce que la personne physique peut perdre — confidentialité de sa vie privée, non-discrimination, liberté de circulation, dignité.

Quand la DPIA est-elle obligatoire ?

Le RGPD cite trois cas explicites, complétés par les listes publiées par la CNIL et les lignes directrices du CEPD (WP248) :

• Évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, avec des effets juridiques (scoring bancaire, tri automatisé de candidatures).
• Traitement à grande échelle de données sensibles au sens de l'article 9 : santé, opinions politiques, données biométriques, orientation sexuelle, condamnations pénales.
• Surveillance systématique à grande échelle d'une zone accessible au public : vidéoprotection urbaine, analyse de flux en centre commercial.

La CNIL applique en pratique les neuf critères du CEPD (scoring, décision automatisée, surveillance, données sensibles, grande échelle, croisement de jeux de données, personnes vulnérables, usage innovant, blocage d'un droit ou d'un contrat). Deux critères remplis déclenchent généralement l'obligation.

Déroulement méthodologique

La méthode CNIL, outillée par le logiciel libre PIA (déployable en local ou en conteneur), structure l'analyse en quatre volets :

• 1. Description du contexte — finalité, base légale, données traitées, durées de conservation, destinataires, sous-traitants, transferts hors UE. C'est le prolongement direct du registre des traitements (article 30).
• 2. Étude des principes fondamentaux — proportionnalité, minimisation, information des personnes, exercice des droits (accès, rectification, effacement, portabilité), encadrement contractuel des sous-traitants via un DPA (article 28).
• 3. Étude des risques de sécurité — trois scénarios canoniques sont évalués : accès illégitime, modification non désirée et disparition des données. Chacun est coté en gravité (impact pour la personne) et en vraisemblance (facilité d'exploitation par une source de risque : attaquant externe, administrateur interne, prestataire).
• 4. Validation — avis motivé du DPO, consultation éventuelle des personnes concernées, arbitrage du responsable de traitement. Si le risque résiduel reste élevé, une consultation préalable de la CNIL est obligatoire (article 36), avec un délai de réponse de 8 à 14 semaines.

Exemples concrets

Plateforme RH avec matching automatisé : le tri algorithmique de CV combine profilage, décision automatisée et données potentiellement discriminantes. Mesures typiques : pseudonymisation des identités lors du scoring, journalisation des décisions, intervention humaine avant tout rejet, audit annuel de biais.

Application de télésurveillance médicale : données de santé à grande échelle sur des personnes vulnérables. La DPIA impose généralement un chiffrement de bout en bout, un hébergement HDS certifié, une authentification multifacteur pour les soignants et un cloisonnement strict des environnements de test (jamais de données réelles en pré-production).

Contrôle d'accès biométrique en entreprise : la CNIL exige une justification de nécessité absolue. La DPIA conduit souvent à retenir un gabarit stocké sur support individuel (badge) plutôt qu'une base centralisée, éliminant le risque de fuite massive de données biométriques irrévocables.

Articulation avec l'écosystème cyber

• EBIOS Risk Manager et ISO 27005 fournissent la matrice de cotation ; les scénarios de menace identifiés côté SSI sont réutilisables dans le volet 3.
• ISO 27701 (extension vie privée de l'ISO 27001) formalise le PIMS et exige explicitement un processus de DPIA documenté.
• NIS 2 impose des mesures de gestion des risques qui recoupent largement celles issues d'une DPIA (chiffrement, contrôle d'accès, gestion des incidents).
• La notification de violation (article 33, 72 heures) s'appuie sur la cotation de gravité produite par la DPIA pour décider d'informer ou non les personnes concernées.
• Le Privacy by Design (article 25) est la traduction opérationnelle des mesures retenues : la DPIA doit intervenir avant le développement, pas après la mise en production.

Bonnes pratiques

• Déclencher tôt : intégrer un point de contrôle DPIA dans le processus projet, au même titre qu'une revue d'architecture. Une DPIA réalisée après déploiement n'influence plus les choix techniques.
• Versionner l'analyse : document vivant, à réviser lors de tout changement de finalité, ajout de source de données ou changement de sous-traitant. Revue recommandée tous les trois ans minimum.
• Tracer les mesures dans le backlog : chaque mesure de réduction doit devenir un ticket assigné avec une date cible. Une DPIA dont les mesures ne sont pas implémentées constitue une circonstance aggravante en cas de contrôle.
• Une DPIA par famille de traitements : l'article 35.1 autorise une analyse unique pour des traitements similaires (parc de caméras homogène), évitant la démultiplication documentaire.
• Publier une synthèse : sans être obligatoire, un résumé anonymisé renforce la démonstration de transparence exigée par le principe d'accountability (article 5.2).

En cas de manquement, l'absence de DPIA obligatoire expose à une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel. Au-delà de la sanction, une DPIA bien conduite reste l'outil le plus efficace pour aligner équipes juridiques, sécurité et développement autour d'une lecture partagée du risque.