Conformité
AIPD
Aussi appeléAnalyse d’impact relative à la protection des donnéesPIADPIA
En résumé
L’analyse d’impact relative à la protection des données : une étude à mener avant tout traitement de données personnelles susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Elle décrit le traitement, évalue sa nécessité et sa proportionnalité, étudie les risques et fixe les mesures pour les réduire. Elle est prévue à l’article 35 du RGPD.
AIPD, en détail
Selon la CNIL, l’AIPD comporte trois parties : la description du traitement et de ses finalités, l’évaluation de sa nécessité et de sa proportionnalité, et l’étude des risques sur la sécurité des données et de leurs effets potentiels sur la vie privée, avec les mesures retenues. Le délégué à la protection des données est consulté. Si des risques élevés subsistent malgré les mesures, l’article 36 prévoit une consultation préalable de l’autorité de contrôle. AIPD, DPIA et PIA désignent la même démarche.
L’AIPD se mène avant la mise en œuvre du traitement, le plus en amont possible, et se revoit lorsque le contexte évolue, notamment sur le plan technique. Son volet sécurité s’appuie sur une analyse de risques : la méthode EBIOS : définition Risk Manager convient, tout comme la méthode et l’outil PIA de la CNIL. Elle sert aussi de preuve de responsabilité : elle montre que les choix de conception ont été pesés.
Qu’est-ce que cela change pour vous ?
Une AIPD requise et non réalisée peut être sanctionnée par l’autorité de contrôle. Bien menée, elle fait modifier le projet avant la mise en production, quand la correction coûte le moins.
Exemple illustratif (fictif)
Imaginons une application de suivi de santé au travail qui prévoit de collecter des données de santé à grande échelle. L’AIPD conduit à chiffrer les données au niveau applicatif et à restreindre fortement les accès des administrateurs, avant tout développement du module.
La confusion fréquente
La traiter comme un formulaire de fin de projet. Réalisée après la mise en production, elle ne peut plus modifier la conception, et se réduit à décrire un état de fait.
Qui peut vous accompagner ?
- Sécurité RGPD : la prestationDémontrer que la sécurité de vos traitements est adaptée au risque.
- Analyse de risques EBIOS : la prestationDes risques décrits avec vos métiers, pas piochés dans un catalogue.
Aller plus loin
- ArticleQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- MéthodeEBIOS Risk Manager : définitionLa méthode d’analyse de risques numériques publiée par l’ANSSI.
- DéfensePlan de réponse à incident : définitionLe document, testé par des exercices, qui décrit qui fait quoi quand un incident de sécurité survient : qualification, décisions d’isolement, préservation des preuves, communication, notification aux autorités, reprise d’activité.
- ConformitéSMSI : définitionLe système de management de la sécurité de l’information : l’ensemble des règles, rôles, processus et contrôles par lesquels une organisation gère ses risques de sécurité de façon continue, avec revue de direction et amélioration.
- ConformitéCVE : définitionUn identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début