Quand une AIPD (DPIA) est-elle obligatoire selon la CNIL ?
Une AIPD est obligatoire avant tout traitement susceptible d'engendrer un risque élevé pour les personnes (article 35 du RGPD). En pratique, elle est requise si votre traitement figure sur la liste publiée par la CNIL ; hors de cette liste, les lignes directrices européennes indiquent que, « dans la plupart des cas », un traitement qui réunit au moins deux de leurs neuf critères en exige une.
Ce que disent les textes
L'article 35, paragraphe 1, du RGPD impose l'analyse « avant le traitement » lorsqu'il est « susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ». Le paragraphe 3 cite trois cas où elle est en particulier requise : l'évaluation systématique fondée sur un traitement automatisé (profilage) produisant des effets juridiques, le traitement à grande échelle de données sensibles ou pénales, et la surveillance systématique à grande échelle d'une zone accessible au public.
Le paragraphe 4 du même article charge chaque autorité de publier la liste des traitements pour lesquels l'analyse est requise. La CNIL l'a fait ; cette liste n'est pas limitative.
Le paragraphe 5 permet aussi à l'autorité de publier la liste inverse, celle des types de traitements pour lesquels aucune analyse n'est requise. La CNIL a publié cette seconde liste : vérifiez-y votre cas d'après son libellé officiel avant de conclure.
Les lignes directrices WP248 rev.01, reprises par le comité européen de la protection des données, posent neuf critères (évaluation ou notation, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de jeux de données, personnes vulnérables, usage innovant, traitement qui empêche d'exercer un droit ou de bénéficier d'un contrat) et précisent : « dans la plupart des cas », un traitement qui en réunit deux exige une analyse.
Ne pas la faire quand elle est due relève des obligations des articles 25 à 39, que l'article 83, paragraphe 4, du RGPD sanctionne jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.
Suis-je concerné ? Le test en une minute
- Votre traitement figure-t-il sur la liste de la CNIL des analyses requises ?
- Sinon, réunit-il au moins deux des neuf critères ci-dessus, sans figurer sur la liste de la CNIL des analyses non requises ?
- Le traitement a-t-il déjà commencé ?
Un « oui » à la première question : l'analyse est requise. Un « oui » à la deuxième : elle l'est dans la plupart des cas, et si vous concluez autrement, consignez-en les raisons. Un « oui » à la troisième change le calendrier : l'article 35, paragraphe 1, place l'analyse avant le traitement, donc un traitement déjà commencé qui l'exige doit la conduire sans attendre. Deux « non » aux premières questions : notez dans votre documentation pourquoi vous avez conclu qu'elle n'était pas requise.
Et ensuite
Une AIPD doit décrire les mesures de sécurité qui protègent le traitement (RGPD, article 35, paragraphe 7, point d). Si ce traitement passe par Microsoft 365 (messagerie, partages, Teams), SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration réellement en place et vous donnera des faits utiles pour rédiger cette section. Ce diagnostic décrira des faits de configuration ; il ne garantira pas la conformité du traitement.
SYAGA Audit pour votre AIPD : obtenir le score gratuit
À lire aussi
Sur Microsoft 365 : comment savoir si votre Microsoft 365 est bien sécurisé, et la façon dont SYAGA Audit traite ce qu'il lit, décrite sur sa page sécurité. Pour la liste complète de la CNIL, la méthode PIA et le cas de la messagerie, de Teams et de Copilot : CNIL et DPIA, la synthèse.
Les obligations voisines : le RGPD pour une PME, NIS2, la politique de sécurité (PSSI) et la charte informatique.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit mesure votre environnement Microsoft 365 à une date donnée ; il ne se substitue pas à une démarche complète de mise en règle et ne garantit pas que vous respectiez une règle ou une réglementation. Les mesures reprennent les thèmes de l'ISO/IEC 27001 ; SYAGA n'a fait l'objet d'aucun audit par un organisme tiers sur cette norme.
Faits relus le 14/10/2026, complétés le 30/10/2026 sur les sources officielles citées (EUR-Lex, CNIL, Comité européen de la protection des données). Cette page informe ; elle ne constitue pas un conseil juridique.