Questions fréquentes
Quels sont les 9 critères du CEPD pour déclencher une AIPD ?
Évaluation ou notation, décision automatisée à effet juridique, surveillance systématique, données sensibles, traitement à grande échelle, croisement de données, personnes vulnérables, usage innovant, et empêchement d'exercer un droit ou d'accéder à un service.
Combien de critères faut-il réunir pour qu'une AIPD soit obligatoire ?
Le CEPD recommande de considérer qu'une AIPD est nécessaire dès que deux critères sur les neuf sont remplis. Un seul critère peut suffire si le risque est manifeste, par exemple une surveillance systématique de salariés.
Quels traitements figurent sur la liste positive de la CNIL ?
La délibération CNIL n° 2018-327 liste 14 types de traitements pour lesquels l'AIPD est systématiquement obligatoire, dont les données de santé en établissement, le profilage à grande échelle, la vidéosurveillance d'espaces publics et les traitements biométriques d'authentification.
Existe-t-il des traitements exemptés d'AIPD ?
Oui, la CNIL a publié une liste négative (délibération 2019-118) exemptant certains traitements standards comme la gestion de la paie ou des fournisseurs, ainsi que les traitements ayant fait l'objet d'une formalité préalable avant le 25 mai 2018 sans modification substantielle depuis.
Que faire si l'on hésite sur l'obligation de réaliser une AIPD ?
Le bon réflexe est de documenter le raisonnement même en cas de conclusion négative : conserver la grille d'analyse des 9 critères constitue une preuve de diligence en cas de contrôle CNIL. On parle parfois de « pré-AIPD » ou de screening.