L'analyse d'impact relative à la protection des données (AIPD) a mauvaise réputation : perçue comme lourde et technique, elle est souvent soit ignorée, soit réalisée systématiquement « par précaution » pour tous les traitements, ce qui dilue son utilité réelle. Le RGPD ne l'impose pourtant que pour des traitements précis, identifiables selon des critères objectifs. Voici comment savoir si votre cabinet est concerné.
Qu'est-ce qu'une AIPD et que dit l'article 35 du RGPD ?
L'article 35 du RGPD impose au responsable de traitement de réaliser une analyse d'impact relative à la protection des données avant la mise en œuvre d'un traitement, lorsque celui-ci est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées. Ce n'est pas une formalité administrative générale : c'est une obligation ciblée, déclenchée par des critères précis, et non par la seule nature « juridique » ou « sensible » de l'activité du cabinet.
💡 Bon à savoir : l'AIPD n'est pas transmise systématiquement à la CNIL. Elle doit être conduite en amont du traitement et tenue à disposition en cas de contrôle. Une consultation préalable de la CNIL n'est requise que si l'analyse conclut à un risque résiduel élevé malgré les mesures prévues.
Quels sont les critères qui déclenchent une AIPD ?
Les autorités européennes de protection des données ont établi une liste de neuf critères permettant d'identifier les traitements à risque élevé. La règle pratique retenue par la CNIL : la réunion d'au moins deux de ces critères rend l'AIPD nécessaire.
1. Évaluation ou notation des personnes
2. Décision automatisée produisant des effets juridiques
3. Surveillance systématique
4. Collecte de données sensibles ou hautement personnelles
5. Collecte de données à large échelle
6. Croisement ou combinaison d'ensembles de données
7. Personnes concernées vulnérables
8. Usage innovant ou nouvelle solution technologique
9. Traitement faisant obstacle à l'exercice d'un droit ou d'un contrat
La CNIL publie également une liste indicative de types de traitements pour lesquels une AIPD est requise, ainsi qu'une liste de traitements pour lesquels elle ne l'est pas — ces listes évoluent et doivent être consultées directement sur son site pour un traitement donné.
Un cabinet d'avocats est-il concerné en pratique ?
La plupart des traitements courants d'un cabinet — gestion des dossiers, facturation, gestion du personnel — ne remplissent généralement pas deux critères simultanément et ne nécessitent donc pas d'AIPD. Certaines situations méritent en revanche un examen attentif :
⚠️ À examiner de près
- → Cabinet spécialisé en dommages corporels traitant des données de santé à grande échelle
- → Usage d'un outil d'intelligence artificielle pour évaluer ou scorer des dossiers
- → Vidéosurveillance continue des locaux avec analyse comportementale
- → Base de données croisant identité, santé et données financières sur un grand nombre de personnes
✓ Généralement sans AIPD
- → Gestion classique des dossiers clients d'un cabinet généraliste
- → Facturation et comptabilité du cabinet
- → Site web avec formulaire de contact standard
- → Messagerie et visioconférence pour les échanges avec les clients
⚠️ Attention : le simple fait de traiter des données judiciaires ne suffit pas, à lui seul, à déclencher l'obligation d'AIPD. C'est la combinaison avec un autre critère — l'échelle du traitement, l'usage d'un outil automatisé, ou le croisement avec d'autres catégories de données — qui la rend nécessaire. Chaque situation doit être analysée individuellement plutôt que par analogie générale avec « le secteur juridique ».
Cette analyse s'articule avec votre registre des traitements, qui permet d'identifier plus facilement les traitements susceptibles de remplir ces critères, ainsi qu'avec les enseignements tirés d'une éventuelle violation de données passée, qui peut révéler un risque sous-estimé.
Que contient une AIPD ?
Une AIPD conforme à l'article 35.7 du RGPD doit comporter quatre éléments :
Description systématique du traitement
Finalités poursuivies, données traitées, personnes concernées, durée de conservation.
Évaluation de la nécessité et de la proportionnalité
Le traitement est-il réellement indispensable pour atteindre la finalité visée, ou une alternative moins intrusive existe-t-elle ?
Évaluation des risques pour les personnes
Probabilité et gravité des atteintes possibles à leurs droits et libertés.
Mesures pour réduire les risques
Chiffrement, contrôle d'accès, anonymisation ou pseudonymisation, mesures organisationnelles.
Une démarche, pas un document isolé
L'AIPD doit être réexaminée si le traitement évolue significativement — nouvel outil, nouvelle finalité, nouvelle échelle. Un cabinet qui adopte un outil d'intelligence artificielle pour analyser ses dossiers doit se reposer la question, même s'il avait conclu à l'absence d'obligation d'AIPD au moment de sa création.
Chez NetJuris
Une organisation claire des traitements par module (dossiers, facturation, GED) facilite l'identification des traitements susceptibles de nécessiter une AIPD. Découvrez nos fonctionnalités.
FAQ
Qui doit réaliser l'AIPD dans un cabinet ?
Le responsable de traitement, c'est-à-dire le cabinet lui-même. En pratique, elle est menée par l'avocat référent RGPD ou un consultant externe, en associant si nécessaire le délégué à la protection des données lorsque le cabinet en a désigné un.
Que se passe-t-il si l'AIPD révèle un risque résiduel élevé malgré les mesures prévues ?
Le cabinet doit alors consulter la CNIL avant de mettre en œuvre le traitement, conformément à l'article 36 du RGPD. La CNIL dispose d'un délai pour formuler un avis, qui peut inclure des recommandations complémentaires.
Un cabinet qui n'a jamais réalisé d'AIPD est-il nécessairement en défaut ?
Non, si aucun de ses traitements ne remplit les critères de risque élevé. L'absence d'AIPD n'est un manquement que si un traitement identifié aurait dû en faire l'objet et qu'aucune analyse n'a été conduite.
L'AIPD remplace-t-elle le registre des traitements ?
Non, ce sont deux documents distincts et complémentaires. Le registre recense l'ensemble des traitements du cabinet ; l'AIPD approfondit l'analyse des seuls traitements présentant un risque élevé identifié selon les critères ci-dessus.
Publié le 2026-04-30. Contenu informatif destiné aux professionnels du droit ; il ne constitue pas une consultation juridique. Pour la méthode complète et les listes à jour, consultez les ressources de la CNIL sur l'analyse d'impact et le texte de l'article 35 du RGPD.