En vertu de l'article 35 du GDPR, une DPIA doit être réalisée avant le début du traitement concerné. Elle doit être abordée comme un exercice concret de gestion des risques, capable d'orienter la conception du produit, la collecte des données, les mesures de sécurité, la conservation, les accès et les autres décisions de traitement — et non comme un simple document de conformité.
Ce guide propose une méthodologie en cinq étapes pour déterminer si une DPIA est requise, documenter le traitement, évaluer les risques, choisir les garanties, puis approuver et réexaminer l'analyse.
Important : La nécessité d'une DPIA dépend de l'activité de traitement en cause, de sa nature, de sa portée, de son contexte et de ses finalités, des listes publiées par les autorités de contrôle compétentes et des risques pour les personnes. Ce guide fournit des informations générales et ne remplace pas un conseil juridique.
§Quand une DPIA est-elle requise ?
L'article 35, paragraphe 1, impose au responsable du traitement de réaliser une DPIA lorsqu'un type de traitement, en particulier s'il recourt à de nouvelles technologies, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques.
L'évaluation doit prendre en compte :
- La nature du traitement
- La portée du traitement
- Le contexte dans lequel le traitement a lieu
- Les finalités du traitement
- L'incidence potentielle sur les personnes
- La probabilité et la gravité des risques
Article 35, paragraphe 3 : trois exemples explicites
Une DPIA est expressément requise, en particulier, lorsque le traitement implique :
- Une évaluation systématique et approfondie d'aspects personnels, y compris le profilage, lorsque des décisions fondées sur ce traitement produisent des effets juridiques ou des effets significatifs de façon similaire.
- Un traitement à grande échelle de catégories particulières de données à caractère personnel visées à l'article 9, paragraphe 1, ou de données à caractère personnel relatives aux condamnations pénales et aux infractions visées à l'article 10.
- La surveillance systématique à grande échelle d'une zone accessible au public.
Ce ne sont pas les seuls cas dans lesquels une DPIA peut être requise. Les autorités de contrôle publient également, au titre de l'article 35, paragraphe 4, des listes d'opérations de traitement pour lesquelles une DPIA est requise.
§Le test de seuil de la DPIA
Lorsqu'il n'apparaît pas d'emblée qu'une DPIA est requise, les organisations peuvent s'appuyer sur les critères de risque établis par le groupe de travail « Article 29 » et approuvés par l'EDPB.
Les neuf critères couramment utilisés sont les suivants :
- Évaluation ou notation, y compris le profilage
- Prise de décision automatisée produisant des effets juridiques ou des effets significatifs similaires
- Surveillance systématique
- Données sensibles ou à caractère hautement personnel
- Traitement à grande échelle
- Croisement ou combinaison d'ensembles de données
- Traitement concernant des personnes vulnérables
- Technologies ou solutions organisationnelles innovantes
- Traitement empêchant les personnes d'exercer un droit, d'utiliser un service ou de conclure un contrat
Ces critères sont des indicateurs utiles d'un traitement potentiellement à haut risque. Ils ne doivent pas être appliqués comme une formule légale du type « deux critères = DPIA ».
L'évaluation doit porter sur le traitement dans son ensemble et tenir compte des exigences de l'autorité de contrôle nationale compétente. Une activité de traitement peut nécessiter une DPIA même si un simple seuil numérique n'est pas atteint. À l'inverse, la présence d'un seul facteur ne détermine pas automatiquement l'issue dans tous les cas.
Questions pratiques de présélection
Demandez-vous :
- Le traitement évalue-t-il ou profile-t-il des personnes ?
- Des décisions automatisées pourraient-elles affecter les personnes de manière significative ?
- Les personnes font-elles l'objet d'une surveillance systématique ?
- Le traitement porte-t-il sur des informations sensibles ou à caractère hautement personnel ?
- Le traitement est-il réalisé à grande échelle ?
- Des ensembles de données provenant de sources différentes sont-ils combinés ?
- Des personnes vulnérables sont-elles concernées ?
- Le traitement introduit-il des technologies ou des méthodes innovantes ?
- Le traitement pourrait-il limiter la capacité d'une personne à exercer un droit ou à accéder à un service ?
Si plusieurs indicateurs sont réunis, il est vivement recommandé de documenter une évaluation du seuil de DPIA.
§Étape 1 — Décrire le traitement
La première étape consiste à documenter ce que l'organisation entend faire des données à caractère personnel.
Une DPIA utile doit décrire :
Nature
- Catégories de données à caractère personnel
- Sources des données
- Destinataires des données
- Responsables du traitement, responsables conjoints, sous-traitants et sous-traitants ultérieurs
- Opérations de traitement
- Mesures de sécurité
- Transferts internationaux
- Modalités de conservation et de suppression
Portée
- Nombre de personnes concernées
- Volume de données
- Couverture géographique
- Durée du traitement
- Fréquence du traitement
Contexte
Prenez en compte :
- La relation entre l'organisation et les personnes
- Les attentes des personnes
- Le fait que les personnes disposent ou non d'un contrôle réel
- La sensibilité de l'environnement
- La présence éventuelle de personnes vulnérables
- Le fait que le traitement puisse avoir une incidence sur l'emploi, la santé, les finances, l'éducation ou d'autres aspects importants de la vie
Finalité
Documentez :
- Ce que l'organisation cherche à accomplir
- Pourquoi le traitement est nécessaire
- Les résultats attendus
- Les objectifs commerciaux ou opérationnels
Cartographie des flux de données
Le cas échéant, complétez la description écrite par un schéma des flux de données montrant :
- Collecte
- Traitement
- Stockage
- Accès
- Partage
- Transfert
- Suppression
Cela peut révéler des flux de données et des tiers qui n'apparaissent pas nécessairement à la seule lecture d'une documentation rédigée.
§Étape 2 — Nécessité et proportionnalité
Une DPIA ne doit pas seulement se demander si le traitement est techniquement possible. Elle doit évaluer si le traitement envisagé est nécessaire et proportionné à sa finalité.
Base juridique
Identifiez la base juridique applicable au titre de l'article 6.
Lorsque des catégories particulières de données sont traitées, identifiez la condition applicable de l'article 9. Lorsque des données relatives aux condamnations pénales ou aux infractions sont en cause, examinez l'article 10 et le droit national applicable.
Minimisation des données
Pour chaque donnée importante, demandez-vous :
- Avons-nous réellement besoin de cette information ?
- Le même objectif peut-il être atteint avec moins de données ?
- Les informations peuvent-elles être agrégées ou anonymisées ?
- Les identifiants peuvent-ils être supprimés ou pseudonymisés ?
Conservation
Documentez :
- La durée de conservation des données
- Les raisons pour lesquelles cette durée est nécessaire
- Ce qui déclenche la suppression ou le réexamen
- La manière dont la suppression est garantie
Limitation des finalités
Vérifiez que chaque catégorie de données est rattachée à une finalité déterminée et légitime.
Exactitude
Identifiez les mesures permettant de :
- Maintenir l'exactitude des informations
- Corriger les enregistrements inexacts
- Traiter les informations obsolètes
Transparence et droits
Expliquez :
- Comment les personnes seront informées
- Quels droits s'appliquent
- Comment les demandes d'exercice des droits seront traitées
- Comment les personnes peuvent faire part de leurs préoccupations
Solutions moins intrusives
Une DPIA solide doit documenter les solutions de substitution envisagées et expliquer pourquoi l'approche retenue est proportionnée.
§Étape 3 — Identifier et évaluer les risques
La DPIA doit se concentrer sur les risques pour les droits et libertés des personnes, et non se limiter à dresser la liste des vulnérabilités de cybersécurité.
Pour chaque risque significatif, documentez :
- Description du risque
- Cause ou menace
- Catégories de personnes concernées
- Conséquences potentielles
- Probabilité
- Gravité
- Évaluation globale du risque
- Garanties existantes
- Risque résiduel
Domaines de risque courants
Selon le traitement, envisagez :
- Accès non autorisé
- Perte de confidentialité
- Perte ou altération de données
- Collecte excessive
- Conservation excessive
- Divulgation illicite
- Usurpation d'identité
- Fraude
- Discrimination
- Profilage
- Perte d'autonomie
- Atteinte à la réputation
- Préjudice financier
- Préjudice physique ou psychologique
- Réidentification
- Impossibilité d'exercer les droits des personnes concernées
Probabilité et gravité
Examinez à la fois :
- Quelle est la probabilité que le préjudice survienne ?
- Quelle serait la gravité des conséquences s'il survenait ?
L'évaluation doit être suffisamment claire pour qu'un autre évaluateur puisse suivre le raisonnement ayant conduit l'organisation à sa conclusion.
§Étape 4 — Traitement des risques
Une fois les risques identifiés, déterminez les garanties nécessaires.
Les mesures possibles comprennent :
Mesures techniques
- Chiffrement
- Pseudonymisation
- Contrôles d'accès
- Authentification multifacteur
- Segmentation du réseau
- Journalisation et surveillance
- Prévention des pertes de données
- Suppression sécurisée
- Gestion des vulnérabilités
Mesures organisationnelles
- Politiques de confidentialité
- Formation du personnel
- Gouvernance des accès
- Calendriers de conservation
- Procédures de réponse aux incidents
- Contrôles applicables aux fournisseurs
- Accords de protection des données
- Audits internes
- Réexamens périodiques
Mesures de protection des données dès la conception
Examinez si le système peut être repensé pour :
- Collecter moins d'informations
- Réduire les accès
- Raccourcir la durée de conservation
- Supprimer les identifiants inutiles
- Traiter les informations localement
- Agréger les informations
- Donner davantage de contrôle aux personnes
L'objectif n'est pas simplement de faire baisser le score de risque. L'organisation doit déterminer si les garanties réduisent suffisamment la probabilité ou la gravité des risques pour que le traitement soit approprié.
§Risque résiduel et consultation préalable
Une fois les garanties choisies, réévaluez le risque restant.
Si la DPIA indique que le traitement présenterait un risque élevé en l'absence de mesures prises par le responsable du traitement pour atténuer ce risque, l'article 36 impose de consulter l'autorité de contrôle compétente avant le début du traitement.
La consultation préalable n'est donc pas une étape systématique de toute DPIA. Elle devient pertinente lorsque la situation résiduelle atteint le seuil de l'article 36.
Le responsable du traitement doit être prêt à fournir les informations exigées par l'article 36, notamment :
- Les responsabilités des parties concernées
- Les finalités et les moyens du traitement
- Les mesures et garanties
- Les coordonnées du DPO, le cas échéant
- La DPIA
- Toute autre information demandée par l'autorité
§Étape 5 — Approbation et réexamen
Une DPIA doit avoir un responsable et un circuit d'approbation clairement définis.
Participation du DPO
Lorsqu'un DPO a été désigné, le responsable du traitement doit solliciter son avis lors de la réalisation de la DPIA, conformément à l'article 35, paragraphe 2.
L'avis du DPO doit être documenté, y compris toute décision du responsable du traitement de s'en écarter.
Cela ne signifie pas que toute organisation est tenue de désigner un DPO du seul fait qu'elle réalise une DPIA. L'obligation de disposer d'un DPO est régie séparément par l'article 37.
Examen par les parties prenantes
Selon le traitement, associez :
- Protection des données
- Juridique
- Sécurité
- Ingénierie
- Produit
- Conformité
- Achats
- RH
- Responsables métier
- Sous-traitants concernés
Le cas échéant, l'article 35, paragraphe 9, permet également au responsable du traitement de recueillir l'avis des personnes concernées ou de leurs représentants, dans les conditions prévues par cette disposition.
Approbation
Consignez :
- Responsable de la DPIA
- Date de réalisation
- Responsable du traitement en interne
- Avis du DPO, le cas échéant
- Risques identifiés
- Mesures requises
- Risques résiduels
- Décision d'approbation
- Actions en suspens
- Éléments déclencheurs d'un réexamen
§Quand une DPIA doit-elle être réexaminée ?
Une DPIA n'est pas nécessairement un document établi une fois pour toutes.
L'article 35, paragraphe 11, impose au responsable du traitement de procéder, si nécessaire, à un examen afin d'évaluer si le traitement est effectué conformément à la DPIA, au moins lorsque le risque présenté par les opérations de traitement évolue.
Un réexamen peut donc être approprié lorsque :
- La finalité du traitement change
- De nouvelles catégories de données sont introduites
- Le volume de traitement augmente sensiblement
- Une nouvelle technologie est introduite
- Un nouveau sous-traitant est désigné
- Le périmètre géographique change
- De nouvelles juridictions sont ajoutées
- Un incident de sécurité se produit
- Une nouvelle vulnérabilité ou un nouveau risque apparaît
- Les exigences réglementaires évoluent
- Le système est substantiellement repensé
Une organisation peut aussi choisir de procéder à des réexamens périodiques — par exemple chaque année — à titre de bonne pratique de gouvernance. Un réexamen annuel n'est toutefois pas une échéance légale universelle imposée par l'article 35.
§Exemple pratique — système biométrique de pointage des salariés
Prenons le cas d'une organisation qui envisage de déployer un système biométrique de pointage pour ses salariés sur plusieurs sites.
L'organisation ne doit pas simplement conclure qu'une DPIA est requise au motif que « la biométrie exige toujours une DPIA ».
Elle doit plutôt évaluer :
Traitement
- Quelles informations biométriques sont collectées ?
- Comment sont-elles générées et stockées ?
- Un gabarit est-il stocké à la place d'une image brute ?
- Qui peut accéder aux informations ?
- Combien de temps sont-elles conservées ?
- Des fournisseurs interviennent-ils ?
- Des transferts de données ont-ils lieu ?
Finalité
- Le système est-il utilisé uniquement pour le pointage ?
- Sert-il également à la surveillance des salariés ou à l'évaluation de leurs performances ?
- Pourrait-il influer sur des décisions en matière d'emploi ?
Nécessité et proportionnalité
Examinez si des solutions moins intrusives permettraient d'atteindre le même objectif, par exemple :
- Badges d'accès
- Codes PIN
- Authentification mobile
- Autres méthodes de pointage non biométriques
Risque
Évaluez les conséquences potentielles, telles que :
- Compromission irréversible des identifiants biométriques
- Accès non autorisé
- Détournement de finalité
- Surveillance des salariés
- Discrimination ou correspondance inexacte
- Conservation excessive
- Perte de contrôle sur des informations sensibles
Garanties
Les mesures envisageables pourraient comprendre :
- Stockage sous forme de gabarits
- Chiffrement fort
- Contrôles d'accès stricts
- Durées de conservation courtes
- Limitation des finalités
- Dispositifs de pointage alternatifs
- Tests d'exactitude
- Vérification humaine des correspondances contestées
- Restrictions imposées aux fournisseurs
- Procédures de réponse aux incidents
La base juridique et la condition de l'article 9 doivent être déterminées en fonction du contexte d'emploi réel et du droit national applicable. Il ne faut pas présumer que le consentement constitue une solution appropriée simplement parce qu'il est commode, en particulier lorsqu'il peut exister un déséquilibre entre l'employeur et le salarié.
§Erreurs fréquentes en matière de DPIA
Erreur n° 1 : « Deux critères réunis rendent la DPIA obligatoire. »
Les neuf critères constituent un cadre pratique de présélection des risques, et non une formule numérique légale.
Erreur n° 2 : commencer la DPIA après le lancement
L'article 35 exige que l'analyse soit réalisée avant le début du traitement à haut risque concerné. Une DPIA doit intervenir suffisamment tôt pour orienter la conception et la prise de décision.
Erreur n° 3 : assimiler la DPIA à une évaluation de cybersécurité
La sécurité est importante, mais la DPIA doit évaluer les risques pour les droits et libertés des personnes.
Erreur n° 4 : utiliser des descriptions de risques génériques
Une DPIA solide relie les risques à des personnes, des données, des opérations de traitement et des conséquences potentielles bien réelles.
Erreur n° 5 : présumer que tous les projets biométriques ou d'IA reposent sur la même base juridique
La base juridique et la condition applicable aux catégories particulières de données dépendent du traitement réel et du droit applicable.
Erreur n° 6 : considérer le DPO comme le « propriétaire » de la DPIA
Le responsable du traitement reste responsable de la DPIA. Le DPO désigné rend un avis au titre de l'article 35, paragraphe 2.
Erreur n° 7 : consulter systématiquement l'autorité de contrôle
La consultation préalable prévue à l'article 36 s'impose lorsque la DPIA indique qu'un risque élevé subsisterait en l'absence de mesures d'atténuation. Elle n'est pas requise pour chaque DPIA.
Erreur n° 8 : ne jamais revenir sur la DPIA
Toute modification substantielle du traitement ou de son profil de risque doit déclencher une réévaluation.
§Liste de contrôle des livrables de la DPIA
Un dossier de DPIA exploitable doit normalement contenir, selon le cas :
- Évaluation du seuil de DPIA
- Description du traitement
- Schéma des flux de données
- Analyse de la finalité et de la base juridique
- Évaluation de la nécessité et de la proportionnalité
- Évaluation de la minimisation des données
- Registre des risques
- Méthodologie d'évaluation des risques
- Garanties existantes
- Mesures d'atténuation supplémentaires
- Évaluation du risque résiduel
- Avis du DPO, le cas échéant
- Contributions des parties prenantes
- Trace de l'approbation
- Plan de remédiation
- Éléments déclencheurs d'un réexamen
- Documentation de la consultation préalable, le cas échéant
§DPIA et autres évaluations
Une DPIA s'inscrit souvent dans un processus de gouvernance plus large.
DPIA et évaluation des risques de sécurité
Une évaluation des risques de sécurité porte principalement sur les menaces et les mesures relatives à la sécurité de l'information.
Une DPIA porte sur les risques que le traitement de données à caractère personnel fait peser sur les droits et libertés des personnes.
Les deux évaluations peuvent se nourrir l'une l'autre, mais ne doivent pas être automatiquement considérées comme un seul et même document.
DPIA et évaluation de l'intérêt légitime
Une évaluation de l'intérêt légitime détermine si un traitement fondé sur l'intérêt légitime satisfait aux exigences légales applicables.
Une DPIA détermine si le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.
Une même activité de traitement peut nécessiter les deux.
DPIA et analyse d'impact sur les droits fondamentaux en matière d'IA
L'analyse d'impact sur les droits fondamentaux relative à l'IA prévue par l'EU AI Act est distincte de la DPIA du GDPR. Lorsque les deux s'appliquent, elles peuvent être coordonnées et partager des éléments factuels pertinents, mais elles relèvent de cadres juridiques différents.
§Modèle de DPIA de l'EDPB
L'EDPB a publié un modèle de DPIA pour consultation publique en avril 2026. Ce modèle vise à favoriser une approche plus homogène des DPIA, les autorités nationales de protection des données étant appelées à examiner comment l'adopter en tant que modèle commun ou compatible.
Les organisations peuvent utiliser le modèle de l'EDPB comme référence utile, tout en vérifiant les exigences et les lignes directrices de l'autorité de contrôle nationale compétente.
§Questions fréquentes
Une DPIA est-elle toujours requise pour l'IA ?
Non. Le recours à l'IA n'implique pas automatiquement qu'une DPIA soit requise. L'organisation doit évaluer la nature, la portée, le contexte et les finalités du traitement, et déterminer s'il est susceptible d'engendrer un risque élevé.
Une DPIA est-elle obligatoire pour les données biométriques ?
Pas automatiquement dans tous les cas. Toutefois, le traitement biométrique peut présenter des risques importants et porter également sur des catégories particulières de données. Le traitement réel, sa finalité, son ampleur et les exigences de l'autorité de contrôle compétente doivent être évalués.
Une seule DPIA peut-elle couvrir plusieurs activités de traitement ?
Oui. L'article 35 permet qu'une seule analyse porte sur un ensemble d'opérations de traitement similaires présentant des risques élevés similaires.
Une DPIA peut-elle être réalisée après le début du traitement ?
En principe, la DPIA doit être réalisée avant le début du traitement concerné. Si une activité de traitement existante a évolué ou si son profil de risque s'est aggravé, le responsable du traitement doit déterminer si une DPIA est désormais requise ou doit être mise à jour. Une DPIA rétrospective peut aider à combler une lacune de gouvernance existante, mais elle n'efface pas un manquement antérieur.
Chaque DPIA doit-elle être approuvée par le DPO ?
Non. Lorsqu'un DPO a été désigné, le responsable du traitement doit solliciter son avis. Le responsable du traitement reste responsable de l'analyse et de la décision.
Chaque DPIA nécessite-t-elle une consultation de l'autorité de contrôle ?
Non. La consultation préalable prévue à l'article 36 est requise lorsque la DPIA indique que le traitement présenterait un risque élevé en l'absence de mesures prises pour atténuer ce risque.
Chaque DPIA doit-elle être publiée ?
Non. L'article 35 du GDPR n'impose pas d'obligation générale de publier la DPIA dans son intégralité. Les organisations peuvent choisir d'en publier un résumé ou d'autres informations lorsque cela est approprié, sous réserve des considérations de confidentialité, de sécurité et autres.
À quelle fréquence une DPIA doit-elle être réexaminée ?
Le GDPR n'impose aucune obligation universelle de réexamen annuel de la DPIA. Procédez à un réexamen lorsque cela est nécessaire et, au minimum, lorsque le risque présenté par le traitement évolue. Les organisations peuvent instaurer des cycles de réexamen périodiques supplémentaires à titre de mesure de gouvernance.
Construire une DPIA au service de décisions concrètes
Une DPIA doit aider l'organisation à prendre de meilleures décisions sur la manière dont les données à caractère personnel sont collectées, utilisées, sécurisées, conservées et partagées.
Les DPIA les plus efficaces :
- Commencent tôt
- Associent les bonnes parties prenantes
- Se concentrent sur les droits et libertés des personnes
- Évaluent la nécessité et la proportionnalité
- Identifient des risques concrets
- Prévoient des garanties opérationnelles
- Documentent le risque résiduel
- Consignent les décisions et les responsabilités
- Sont revues lorsque le traitement ou le risque évolue
RegulatoryBridge peut accompagner les organisations dans l'évaluation du seuil de DPIA, la préparation complète de la DPIA, la coordination des parties prenantes, la planification de la remédiation et la consultation de l'autorité de contrôle lorsque les conditions de l'article 36 sont réunies.
Découvrez nos services de conformité au GDPR ou contactez RegulatoryBridge pour échanger sur vos besoins en matière de DPIA.