Ce que ça veut dire pour votre entreprise
L'AIPD (Analyse d'Impact relative à la Protection des Données, « PIA » en anglais) est une étude approfondie exigée quand un traitement présente un risque élevé pour les personnes : surveillance systématique, données sensibles à grande échelle, croisement de fichiers, personnes vulnérables…
Bonne nouvelle pour la plupart des TPE : vos traitements courants (fichier clients, paie, facturation) n'en exigent généralement pas. Mais certains cas concrets peuvent vous concerner : vidéosurveillance étendue, géolocalisation de véhicules, données de santé (instituts, professions paramédicales), profilage client poussé. L'important est de savoir si vous êtes concerné — et de pouvoir montrer que vous vous êtes posé la question.
Ce que dit la loi
L'article 35 du RGPD impose l'AIPD lorsque le traitement est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes ». La CNIL a précisé 9 critères (évaluation/notation, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, usage innovant, exclusion d'un droit ou d'un contrat) : dès que 2 critères sont réunis, l'AIPD est en principe requise.
Par où commencer
- Passez chaque traitement au crible des 9 critères CNIL — la plateforme le fait sous forme de cases à cocher avec un indicateur en direct.
- Si ≥ 2 critères : réalisez l'analyse (description, nécessité, risques, mesures) avant de démarrer le traitement.
- Dans le doute, documentez votre raisonnement : c'est déjà une preuve de sérieux.