Une fois établi qu'une AIPD est nécessaire, reste à la mener. La méthode de la CNIL, reprise dans son logiciel libre PIA, structure l'analyse en quatre parties. Le DPO conseille et vérifie, mais l'AIPD relève de la responsabilité du responsable de traitement, qui doit la porter et la valider.
1. Décrire le traitement
Cette première partie pose le contexte : finalités, enjeux, responsable de traitement et sous-traitants, données traitées, durées de conservation, supports (applications, serveurs, flux). C'est la partie la plus sous-estimée, alors qu'une description imprécise fausse toute la suite. Elle gagne à s'appuyer sur la fiche du registre et sur l'inventaire technique des outils concernés.
2. Vérifier la nécessité et la proportionnalité
Cette partie examine le respect des principes fondamentaux :
- Finalités déterminées, explicites et légitimes, et base légale identifiée.
- Minimisation : seules les données nécessaires sont collectées.
- Exactitude des données et durées de conservation justifiées.
- Information des personnes et modalités d'exercice de leurs droits.
- Encadrement des sous-traitants et des éventuels transferts hors de l'Union européenne.
3. Étudier les risques
La méthode de la CNIL examine trois événements redoutés : l'accès illégitime aux données, leur modification non désirée et leur disparition. Pour chacun, on estime la gravité (l'impact pour les personnes) et la vraisemblance (la probabilité que l'événement survienne), sur une échelle à quatre niveaux : négligeable, limité, important, maximal.
Cette partie est souvent la plus technique. Elle s'appuie sur des éléments factuels : périmètre réel des accès accordés à l'outil, mode de validation de ces accès, mesures de sécurité existantes. Plus ces éléments sont objectifs, moins l'évaluation dépend de l'intuition de celui qui la rédige.
4. Définir les mesures et valider
Pour chaque risque jugé trop élevé, l'AIPD définit des mesures complémentaires, avec un responsable et une échéance : restreindre les accès, chiffrer, renforcer la journalisation, modifier le contrat avec l'éditeur. Le DPO rend ensuite un avis, et le responsable de traitement valide l'AIPD. Si un risque élevé subsiste malgré les mesures, l'article 36 du RGPD impose de consulter la CNIL avant la mise en œuvre du traitement.
Les écueils les plus fréquents
- Réaliser l'AIPD après la mise en production, alors qu'elle doit précéder le traitement.
- Évaluer les risques sans s'appuyer sur des faits vérifiables.
- Définir des mesures sans responsable ni échéance.
- Ne jamais réviser l'AIPD alors que l'outil ou ses accès ont changé.
Une AIPD n'est pas un document figé : elle doit être revue dès que le traitement évolue. Conserver ses versions successives permet de montrer comment le risque a été suivi dans le temps.