Questions fréquentes
Qu'est-ce qu'une AIPD en quelques mots ?
L'AIPD (Analyse d'Impact relative à la Protection des Données) est une étude obligatoire imposée par l'Article 35 du RGPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Elle permet de cartographier le traitement, d'évaluer les risques et de définir les mesures pour les réduire à un niveau acceptable.
AIPD et DPIA, c'est la même chose ?
Oui. AIPD est la traduction française de DPIA (Data Protection Impact Assessment). Les deux acronymes désignent exactement la même démarche imposée par l'Article 35 du RGPD. La CNIL utilise officiellement « AIPD » dans sa documentation francophone.
Qui doit réaliser l'AIPD : le DPO ou le responsable de traitement ?
C'est le responsable de traitement qui est juridiquement responsable de l'AIPD (Article 35.2). Le DPO doit en revanche être consulté et donner son avis. En pratique, le DPO pilote souvent la démarche, mais la décision finale et la signature reviennent au responsable de traitement.
Faut-il transmettre l'AIPD à la CNIL ?
Non, l'AIPD n'est pas systématiquement transmise. Elle doit être tenue à disposition en cas de contrôle. Une consultation préalable de la CNIL n'est obligatoire (Article 36) que si, malgré les mesures envisagées, le traitement présente toujours un risque résiduel élevé.
Comment évaluer rapidement le risque porté par un sous-traitant dans une AIPD ?
Un scan RGPD automatisé permet d'obtenir un score RGPD indicatif sur un sous-traitant à partir de ses documents publics (politique de confidentialité, DPA, page sécurité), en quelques minutes. Ce signal Niveau 1 (Open Data) pèse jusqu'à 70 % du score et peut être complété par l'analyse de 5 documents clés (Niveau 2, 30 %) puis par un audit complet (Niveau 3) avant d'être intégré à l'AIPD.