AIPD et logiciel métier : guide PME

Votre logiciel métier présente un risque élevé pour les personnes ? L’AIPD doit être réalisée avant de traiter leurs données, que le logiciel soit un SaaS standard ou un outil sur mesure. Mon premier conseil : examinez vos usages dès le cadrage, avant de fixer les données à collecter et les accès.

Dans ce guide, je vous montre comment :

• Décider si l’AIPD est obligatoire, avec les listes et les 9 critères de la CNIL : deux critères sont un repère, pas une règle automatique.
• Suivre les 4 étapes : décrire le traitement, vérifier que les usages sont justifiés et proportionnés, évaluer les risques, puis décider des suites.
• Réunir les documents, répartir les rôles et traduire les mesures en exigences et en tests.
• Vérifier les conditions de lancement et revoir l’analyse lorsque les usages ou les risques changent.

Le point à retenir : un dossier rempli ne suffit pas. <u>Le responsable de traitement reste décisionnaire</u>, avec l’avis du DPO s’il est désigné. Si un risque élevé persiste malgré les mesures prévues, la consultation préalable de la CNIL s’impose.

AIPD (DPIA) : quand est-elle obligatoire ? Les critères RGPD et CNIL

Suivre les 4 étapes de la méthode AIPD de la CNIL

La méthode CNIL se déroule en quatre étapes : décrire le traitement, vérifier sa nécessité et sa proportionnalité, évaluer les risques, puis décider des suites. Ces étapes permettent de déterminer si le projet peut avancer et sous quelles conditions. L’article 35, paragraphe 7, du RGPD fixe le contenu minimal de cette analyse.^[3][1][9]

Décrire le traitement et justifier chaque catégorie de données

Consignez dans une fiche les finalités, la base légale, les personnes concernées, les données collectées et leurs destinataires. Ajoutez l’hébergement, les sous-traitants, les interfaces, les transferts hors Espace économique européen (EEE) et les durées de conservation. Retracez le parcours des données jusqu’à leur suppression : cette fiche guidera les décisions suivantes.

Pour chaque champ, justifiez son utilité, son niveau de précision, sa durée de conservation et les accès accordés. Vérifiez aussi l’information des personnes et les moyens d’exercer leurs droits sur leurs données personnelles. Une AIPD ne rend pas licite une collecte excessive ou sans base légale.^[1][7]

Cas hypothétique - géolocalisation des techniciens : le projet prévoit une position GPS chaque minute, même hors travail, conservée pendant douze mois. Ces paramètres doivent être remis en question. Si l’objectif est de confirmer une intervention, un statut d’intervention peut suffire. Si la localisation est nécessaire à l’organisation des déplacements, limitez la collecte aux missions, réduisez sa fréquence et justifiez la durée de conservation des coordonnées. Il ne s’agit pas de durées recommandées, mais de choix à examiner dans l’AIPD.^[1]

Ces choix servent ensuite à évaluer les risques.

Évaluer les risques et choisir les garanties

Examinez les risques d’accès non autorisé, de divulgation, de modification, de perte et d’usage non prévu. Ils peuvent provenir d’un salarié, d’une erreur, d’une attaque ou d’un fournisseur.

Placez-vous du point de vue des personnes, et pas seulement du système. Pour chaque risque, évaluez sa gravité et sa vraisemblance, en tenant compte des conséquences possibles : surveillance excessive, discrimination, préjudice financier ou perte de confidentialité.

Associez chaque risque aux mesures déjà en place ou prévues : habilitations limitées, authentification renforcée, chiffrement, suppression automatique, sauvegardes et journaux d’activité. Indiquez aussi comment tester leur efficacité. Une protection annoncée ne prouve pas, à elle seule, que le risque est maîtrisé.^[4][5][8]

Examiner les risques restants et attribuer les actions correctives

Après l’évaluation, traduisez chaque correction en action suivie : désignez un responsable, fixez une échéance et précisez la preuve de réalisation attendue.

Réévaluez les risques résiduels, puis consignez la décision du responsable de traitement et l’avis du DPO, s’il est désigné. Il s’agit de déterminer si le traitement peut démarrer ou doit attendre.

Bloquez le lancement tant qu’une fonctionnalité reste disproportionnée ou qu’une protection indispensable manque. Si un risque élevé subsiste sans pouvoir être suffisamment réduit, l’article 36 impose une consultation préalable de la CNIL. L’accord de la direction ne suffit pas.^[5][6]

Réunir les documents et répartir les responsabilités

Une fois les risques identifiés, rassemblez les pièces qui justifient vos choix. L’AIPD doit servir à l’équipe projet pour alimenter le cahier des charges, pas seulement à documenter la conformité.

Préparer les documents de l’AIPD

Regroupez les pièces existantes dans un seul dossier, avec des liens vers leurs versions à jour. Inutile de recopier le registre ou les contrats dans l’AIPD. Vérifiez que les éléments suivants y figurent.^[1][13]

• Traitement et flux : fiche descriptive, cartographie des flux et entrée du registre.
• Règles métier : cahier des charges, durées de conservation justifiées, archivage, suppression et matrice des habilitations.
• Éléments techniques : architecture, hébergement et localisation, sécurité, sauvegardes, reprise d’activité et incidents.
• Contrats : sous-traitance conforme à l’article 28 ; pour les transferts hors EEE, mécanisme, garanties et évaluation du transfert si nécessaire.
• Suivi : risques, plan d’action, avis, validations datées, preuves et révisions.

Le logiciel open source PIA de la CNIL peut vous aider à structurer ce dossier. Son utilisation reste facultative et ne vaut ni certification ni garantie de conformité. Les éléments fournis par un éditeur doivent être ajustés à vos usages et à vos paramétrages.^[2][11][12]

Le dossier réuni, précisez qui prépare, qui valide et qui exécute.

Définir qui prépare, conseille, approuve et met en œuvre

Confiez chaque rôle à une personne nommée, en séparant bien le conseil, la décision et l’exécution.^[1]

Un développeur n’est sous-traitant que s’il traite des données personnelles pour votre compte. Le responsable de traitement reste décisionnaire. Le contrat prévu à l’article 28 doit encadrer l’assistance du sous-traitant.^[10][14][15]

Lorsque cela se justifie, recueillez aussi l’avis des personnes concernées ou de leurs représentants, conformément à l’article 35, paragraphe 9. Gardez une trace des retours et des suites données. Si cette consultation n’est pas appropriée, expliquez pourquoi.^[1]