L’Analyse d’Impact relative à la Protection de Données personnelles est considérée comme étant une bonne pratique, étant donné qu’elle vous permet de vous assurer que l’ensemble des traitements que vous faites sont conformes au RGPD. Des traitements qui peuvent, bien entendu, être susceptibles ou non d’avoir un risque élevé sur la vie privée des personnes concernées.

Il est recommandé de mener une AIPD avant même de mettre en œuvre un traitement. Les analyses doivent être revues et corrigées à fur et à mesure, et de manière régulière, surtout après des changements majeurs des méthodes de réalisation des traitements.

Par ailleurs, selon l’article 35 du RGPD, il est impératif de réaliser une Analyse d’Impact relative à la Protection de Données personnelles pour tout traitement susceptible d’avoir des risques pour les droits des personnes concernées ainsi que sur leur vie privée. La CNIL a identifié 9 critères dans les lignes directives du G29 afin de déterminer si votre traitement pourrait potentiellement avoir des risques pareils :

1. Evaluation ou notation;
2. Décision automatisée avec effet juridique ou effet similaire significatif;
3. Surveillance systématique ;
4. Données sensibles ou données à caractère hautement personnel ;
5. Données personnelles traitées à grande échelle ;
6. Croisement d’ensembles de données ;
7. Données concernant des personnes vulnérables ;
8. Usage innovant ou application de nouvelles solutions technologiques ou organisationnelles ;
9. Exclusion du bénéfice d’un droit, d’un service ou contrat.

Si vous repérez au moins 2 de ces critères dans l’un de vos traitements, il est donc recommandé par la CNIL de réaliser une AIPD.