Une analyse d'impact relative à la protection des données (DPIA) au titre de l'Article 35 du RGPD est requise dès lors qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. Le Groupe de travail Article 29 (désormais l'EDPB) a établi neuf critères — lorsque deux ou plus s'appliquent, réalisez un DPIA.

Un DPIA défendable comporte cinq étapes : décrire le traitement, évaluer la nécessité et la proportionnalité, identifier les risques, identifier les mesures d'atténuation, puis valider formellement et planifier une révision. La méthodologie de l'ICO et les Lignes directrices de l'EDPB s'alignent étroitement sur cette structure.

Bien menée, un DPIA est un artefact qui façonne le produit — et non un rituel de conformité. Elle fait remonter le risque tôt et impose des choix en matière de minimisation des données, de conservation et d'accès. Les meilleurs DPIA sont réalisés avant la première ligne de code.

L'Article 35(1) exige un DPIA lorsqu'un traitement est « susceptible d'engendrer un risque élevé ». L'Article 35(3) énumère trois cas obligatoires :

1. Évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage, et produisant des effets juridiques ou des effets significatifs similaires.
2. Traitement à grande échelle de catégories particulières de données (Article 9) ou de données relatives aux condamnations pénales (Article 10).
3. Surveillance systématique à grande échelle d'une zone accessible au public.

La plupart des autorités de contrôle publient des listes nationales (Article 35(4)) de traitements supplémentaires qui nécessitent toujours un DPIA. Consultez les listes de votre autorité chef de file et de toute autorité dont vous traitez les données de résidents de l'État membre.

En cas d'incertitude, appliquez le test des neuf critères. Deux critères ou plus = DPIA requis.

1. Évaluation ou notation — profilage, analyse comportementale.
2. Prise de décision automatisée avec effet juridique ou effet significatif similaire.
3. Surveillance systématique — observation d'une zone publique, surveillance des employés, pistage web.
4. Données sensibles ou hautement personnelles — catégories particulières, données pénales, mais aussi données financières, de localisation, de communications électroniques.
5. Données traitées à grande échelle.
6. Croisement ou combinaison de jeux de données — y compris provenant de responsables du traitement différents ou pour des finalités différentes.
7. Données concernant des personnes vulnérables — enfants, employés, personnes atteintes de troubles mentaux, demandeurs d'asile.
8. Usage innovant ou application de nouvelles solutions technologiques ou organisationnelles — IA, biométrie, IoT.
9. Empêche les personnes concernées d'exercer un droit ou de bénéficier d'un service / contrat.

Le fondement de toute AIPD est une description précise de ce que vous faites réellement avec les données. À recenser :

• Nature — catégories de données à caractère personnel, sources, destinataires, conservation, sécurité technique, transferts transfrontaliers.
• Portée — volume de données, nombre de personnes concernées, étendue géographique et temporelle.
• Contexte — nature de la relation avec les personnes concernées, contrôle dont elles disposent, sensibilité du contexte (lieu de travail, santé).
• Finalités — ce que vous cherchez à accomplir, résultats attendus, valeur métier.

Associez cela à un schéma des flux de données. Les descriptions en texte libre laissent passer des éléments que les schémas de flux de données détectent.

• Base légale — Article 6(1)(a)–(f). En cas de catégorie particulière, également une condition de l'Article 9(2).
• Alternatives moins intrusives envisagées — pourriez-vous atteindre la finalité avec moins de données, des données anonymisées, des données agrégées ou une conservation plus courte ?
• Limitation des finalités — chaque catégorie de données soutient-elle réellement la finalité déclarée ?
• Minimisation des données — liste explicite des champs et justification documentée pour chacun.
• Qualité et exactitude — quels mécanismes maintiennent les données à jour ?
• Conservation et suppression — durées exactes, avec leur justification juridique/métier.
• Information et droits — comment informez-vous les personnes concernées et comment exercent-elles leurs droits ?

Pour chaque risque identifiable, documentez :

• Description du risque (langage clair et simple).
• Source du risque.
• Probabilité que la menace se concrétise (faible / moyenne / élevée).
• Gravité du préjudice pour les personnes concernées (faible / moyenne / élevée).
• Score de risque global.

Types de menaces à couvrir systématiquement : accès non autorisé (interne, attaquant externe), modification (perte d'intégrité), perte (destruction, indisponibilité), discrimination, usurpation d'identité, perte financière, atteinte à la réputation, perte de confidentialité, perte de contrôle sur les données, ré-identification de données pseudonymisées.

Pour chaque risque, identifiez le traitement prévu :

• Accepter — le risque résiduel est acceptable. Documentez pourquoi et qui l'a approuvé.
• Réduire — mesures appliquées (chiffrement, gestion des accès, formation, réduction de la conservation).
• Éviter — modifier le traitement pour supprimer le risque (utiliser des données anonymisées à la place, abandonner une fonctionnalité).
• Transférer — répartition contractuelle (rare pour les risques primaires ; courant pour la responsabilité résiduelle via l'assurance ou les conditions fournisseur).

Réévaluez le risque résiduel après les mesures prévues. Si le risque résiduel demeure élevé, vous devez consulter l'autorité de contrôle avant le début du traitement (Article 36).

• Avis du DPO (Article 35(2)) — le DPO doit être consulté ; le responsable du traitement peut s'écarter de l'avis mais doit en documenter le raisonnement.
• Consultation des parties prenantes — l'Article 35(9) recommande de consulter les personnes concernées ou leurs représentants lorsque cela est approprié.
• Autorité de validation — généralement le responsable redevable de haut niveau du responsable du traitement (RSSI, COO, ou PDG pour les traitements critiques à l'échelle de l'entreprise).
• Publication — non exigée par le GDPR, mais l'ICO et de nombreuses autorités de contrôle recommandent de publier des synthèses d'AIPD caviardées comme signal de confiance.
• Cycle de révision — l'Article 35(11) exige une révision en cas de changement du risque représenté par les opérations de traitement. Planifiez une révision au calendrier au minimum une fois par an.

La consultation préalable au titre de l'Article 36 est requise lorsque, après application des mesures d'atténuation, le risque résiduel pour les droits et libertés demeure élevé.

L'autorité de contrôle reçoit :

• L'AIPD elle-même.
• Les responsabilités du responsable du traitement et de tout responsable conjoint / sous-traitant.
• Les finalités et moyens du traitement envisagé.
• Les mesures et garanties.
• Les coordonnées du DPO.
• Toute autre information demandée par l'autorité de contrôle.

Délai de réponse de l'autorité de contrôle : 8 semaines (prolongeable de 6 semaines pour les cas complexes). Le traitement ne peut commencer pendant cette période sans autorisation.

Scénario : Une entreprise de logistique prévoit d'introduire un pointage d'entrée/sortie par reconnaissance faciale pour 4 500 opérateurs d'entrepôt répartis sur 12 sites en Allemagne et en Espagne.

Test de seuil : Données sensibles (données biométriques à des fins d'identification au titre de l'Article 9) + grande échelle + personnes vulnérables (salariés) + usage innovant = relève clairement de l'AIPD. Les listes des autorités de contrôle allemande et espagnole mentionnent également l'identification biométrique sur le lieu de travail comme AIPD obligatoire.

Description (Étape 1) : Gabarits faciaux dérivés d'une caméra frontale à l'entrée du site ; comparés à un gabarit enregistré stocké sur un appareil propre à chaque site ; correspondances journalisées avec horodatage et identifiant du salarié ; gabarits biométriques conservés pendant la durée de l'emploi + 30 jours ; journaux de correspondance conservés 3 ans.

Nécessité (Étape 2) : Base légale Article 6(1)(b) contrat de travail + 9(2)(b) obligation de droit du travail (Allemagne) et consentement explicite (Espagne, avec codétermination du comité d'entreprise). Alternatives envisagées : badgeage par carte à code PIN (rejeté — pointage frauduleux), badge NFC (rejeté — idem), empreinte digitale (rejeté — hygiène). Nécessité justifiée des gabarits faciaux par rapport aux alternatives.

Risques (Étape 3) : (a) La centralisation des gabarits biométriques crée une cible de choix en cas de violation. (b) Faux rejet entraînant une retenue sur salaire. (c) Dérive fonctionnelle — données de pointage utilisées pour l'évaluation de la performance. (d) Coercition du salarié : le refus de la collecte biométrique force un retrait conduisant à des conditions moins favorables.

Traitement (Étape 4) : (a) Appareil sur site, propre à chaque site ; gabarits chiffrés avec des clés gérées par HSM ; aucune copie cloud. (b) Procédure de dérogation manuelle en cas de non-correspondance ; la paie ne peut effectuer de retenue sur le seul fondement d'un échec de pointage. (c) Interdiction contractuelle + séparation technique entre les données de pointage et les systèmes RH de performance. (d) Voie de retrait réelle (badge en repli) sans préjudice, documentée dans l'accord du comité d'entreprise.

Validation : Avis du DPO obtenu — suppression des gabarits faciaux recommandée 7 jours après la fin de l'emploi au lieu de 30. Le responsable du traitement a accepté. Codétermination du comité d'entreprise obtenue. Risque résiduel : moyen-faible. Aucune consultation de l'autorité de contrôle requise.

• Sauter le test de seuil. Une AIPD réalisée trop tôt ; on a ensuite constaté qu'elle n'était pas nécessaire. L'inverse (ne pas en faire, le besoin étant révélé par une action répressive) est bien pire.
• Traiter la nécessité comme une simple formalité. « Alternatives moins intrusives envisagées » est la section que les régulateurs lisent le plus attentivement. Les mentions symboliques ne résistent pas à un audit.
• Ambiguïté sur le propriétaire du risque. Les risques sans personne redevable nommée tendent à demeurer non traités.
• Omettre l'étape de consultation des personnes concernées. Lorsque cela est approprié (salariés, large base d'utilisateurs), la consultation prévue à l'Article 35(9) renforce la défendabilité.
• Pas de réévaluation du risque résiduel. Si vous ne réévaluez pas après traitement, vous ne pouvez pas démontrer si l'Article 36 est déclenché.
• Traiter l'AIPD comme un artefact ponctuel. Les changements importants (nouvelle catégorie de données, nouveau sous-traitant, nouvelle juridiction, nouvelle finalité) déclenchent une nouvelle évaluation.
• Laisser l'ingénierie réaliser l'AIPD elle-même. L'implication d'un professionnel de la protection de la vie privée est exigée par l'Article 35(2). Sans cela, l'évaluation manque de fondement juridique.