Qu'est-ce qu'une AIPD (analyse d'impact relative à la protection des données) ?

L'essentiel à retenir

• AIPD signifie « analyse d'impact relative à la protection des données ». C'est l'équivalent français de la DPIA (Data Protection Impact Assessment).
• L'article 35 du RGPD impose une AIPD pour tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.
• Une AIPD est requise si le traitement figure sur la liste publiée par la CNIL ou remplit au moins deux des neuf critères définis par le CEPD.
• L'absence d'AIPD expose à une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83.4 du RGPD).
• Réalisée en amont du traitement, l'AIPD documente les risques, les mesures de réduction et la conformité de votre organisme.

Qu'est-ce qu'une AIPD ? L'analyse d'impact relative à la protection des données, appelée DPIA (Data Protection Impact Assessment) en anglais, est une étude qui permet d'identifier, d'évaluer et de réduire les risques qu'un traitement de données personnelles fait peser sur la vie privée des personnes concernées. Le RGPD (Règlement général sur la protection des données) la rend obligatoire pour tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.

L'AIPD est bien plus qu'une exigence de conformité. Elle traduit le principe de protection des données dès la conception (privacy by design) dans vos processus quotidiens et démontre que votre organisme protège de manière proactive les données personnelles qu'il traite. Elle est particulièrement utile aux organismes qui traitent des données sensibles, déploient de nouvelles technologies ou réalisent des traitements à grande échelle.

Voyons en détail la signification de l'AIPD, les cas où elle est obligatoire et la méthode pour la réaliser.

Comprendre l'AIPD

AIPD signifie « analyse d'impact relative à la protection des données ». C'est le terme officiel retenu par la CNIL, et beaucoup de professionnels qui découvrent le sigle cherchent d'abord ce que signifie AIPD au regard du RGPD. La réponse tient dans l'article 35 : un processus systématique qui aide les organismes à évaluer et à réduire les risques que leurs traitements font peser sur les données personnelles. Cette obligation s'applique à toute entreprise, établie ou non dans l'UE, qui traite les données de résidents européens. Au-delà de répondre à la question « qu'est-ce qu'une AIPD », la démarche permet de :

• identifier en amont les risques pour la protection des données.
• définir des mesures pour réduire ces risques.
• garantir la conformité au RGPD et aux autres réglementations applicables.
• démontrer la responsabilité (accountability) et la transparence de vos traitements.

Une AIPD doit être réalisée avant le lancement de tout traitement significatif, en particulier lorsqu'il porte sur des données personnelles sensibles ou concerne des personnes à grande échelle.

Quels types de traitement nécessitent une AIPD ?

Une AIPD est obligatoire dans deux cas : lorsque le traitement figure sur la liste des opérations soumises à analyse d'impact publiée par la CNIL, ou lorsqu'il remplit au moins deux des neuf critères définis par le CEPD (Comité européen de la protection des données) dans les lignes directrices du G29. Ces neuf critères sont les suivants :

• Évaluation ou notation : traitement impliquant une évaluation ou un profilage systématique des personnes, en particulier pour des décisions susceptibles de les affecter de manière significative (par exemple, la notation de crédit).
• Prise de décision automatisée ayant des effets juridiques ou similaires significatifs : traitement fondé sur des décisions automatisées qui produisent des effets juridiques ou d'autres impacts significatifs sur les personnes (par exemple, le recrutement).
• Nouvelle technologie : introduction d'une nouvelle technologie qui traite des données personnelles, comme la collecte de données pilotée par l'IA, la réalité augmentée ou les systèmes de reconnaissance faciale.
• Traitement à grande échelle : traitement qui concerne un volume important de données ou de personnes, comme le suivi des salariés sur plusieurs sites.
• Données sensibles : traitement de catégories particulières de données, telles que les données de santé, génétiques, biométriques, raciales ou ethniques.
• Surveillance systématique : activités de surveillance, telles que le suivi du comportement des clients en ligne, la vidéosurveillance dans les espaces publics ou le suivi des personnes grâce à des données de localisation.
• Croisement ou combinaison d'ensembles de données : traitement qui fusionne ou relie des ensembles de données et permet de générer des profils personnels plus détaillés.
• Données concernant des personnes vulnérables : traitement qui concerne des personnes vulnérables telles que les enfants, les patients ou les personnes âgées.
• Blocage de l'exercice d'un droit, d'un service ou d'un contrat : traitement qui restreint l'accès à un service ou à un contrat, comme le fait pour une banque de filtrer les clients via une base de données de référence de crédit afin de déterminer l'éligibilité à un prêt.

La CNIL publie la liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données (AIPD) est requise, adoptée par la délibération n° 2018-327 du 11 octobre 2018.

Avantages de la réalisation d'une AIPD

Les avantages d'une analyse d'impact relative à la protection des données dépassent la seule conformité réglementaire :

• Conformité renforcée : l'AIPD vous aide à vous conformer au RGPD, en particulier à l'article 35, qui l'impose pour les activités de traitement à risque élevé.
• Réduction des risques : en identifiant de manière proactive les risques associés au traitement des données, l'AIPD vous permet de mettre en œuvre des mesures efficaces pour réduire ces risques. Cela permet d'éviter des violations de données coûteuses et de limiter l'atteinte à la réputation de votre organisme.
• Prise de décisions éclairée : la démarche encourage un examen approfondi de vos traitements et vous aide à arbitrer en connaissance de cause sur la gestion des données personnelles.
• Confiance et transparence : réaliser une AIPD montre aux parties prenantes et aux régulateurs que vous prenez la protection des données au sérieux. Des clients qui savent que leurs données sont traitées avec soin accordent plus facilement leur confiance.
• Éviter les sanctions financières : ne pas réaliser une AIPD obligatoire constitue un manquement à l'article 35, sanctionné au titre de l'article 83.4 du RGPD par une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
• Efficacité organisationnelle : l'AIPD standardise vos évaluations de risques et ancre des pratiques de protection des données homogènes dans l'ensemble de l'organisme.

Quand faut-il réaliser une AIPD ?

Une AIPD doit être réalisée avant la mise en œuvre du traitement, dès la phase de conception du projet. Elle s'impose dès lors que le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, selon les cas listés ci-dessus. Comptez de quelques semaines à plusieurs mois selon la complexité du traitement, les risques identifiés et la nécessité éventuelle de consulter la CNIL. En cas de doute, votre délégué à la protection des données (DPO) est le premier interlocuteur à solliciter.

Quand une AIPD n'est-elle pas requise ?

Une AIPD peut ne pas être nécessaire dans les circonstances suivantes :

• le traitement est bien connu, constitue une pratique courante et n'implique pas de données sensibles ni de scénarios à risque élevé.
• le traitement est similaire à un traitement pour lequel une AIPD a déjà été réalisée.
• le traitement figure sur la liste des opérations dispensées d'analyse d'impact publiée par la CNIL, ou a été considéré comme présentant un faible risque après une évaluation documentée.

Tous les projets ne nécessitent pas une AIPD. L'essentiel est d'évaluer si vos traitements présentent un risque élevé pour la vie privée des personnes concernées.

Comment savoir si une AIPD doit être réalisée

Trois réflexes permettent de déterminer si votre traitement justifie une AIPD :

• Utiliser un outil de filtrage AIPD : un DPO externalisé fournit souvent des outils de filtrage ou des questionnaires pour évaluer si une AIPD est nécessaire. Ces outils interrogent sur la nature du traitement, son ampleur et les types de données concernés.
• Consulter les textes et les listes de la CNIL : l'article 35 du RGPD et les listes publiées par la CNIL précisent les scénarios dans lesquels une AIPD est obligatoire. Toute activité impliquant un traitement à grande échelle, une surveillance systématique ou des catégories particulières de données personnelles la nécessite.
• Solliciter votre délégué à la protection des données (DPO) : le DPO joue un rôle central pour indiquer si une AIPD est nécessaire. Si votre organisme traite un volume important de données personnelles ou utilise de nouvelles technologies, votre DPO évalue les risques potentiels et guide la démarche.
• En combinant ces ressources avec l'avis d'un expert DPO externalisé, vous décidez en connaissance de cause du moment de lancer une AIPD.

Liste de vérification pour le filtrage d'une AIPD

Cette liste de vérification AIPD RGPD reprend les questions à vous poser avant tout nouveau traitement. Si vous répondez « oui » à au moins deux questions, une AIPD est très probablement requise.

• Le traitement figure-t-il sur la liste des opérations soumises à AIPD publiée par la CNIL ?
• Évaluez-vous, notez-vous ou profilez-vous des personnes ?
• Prenez-vous des décisions automatisées produisant des effets juridiques ou significatifs ?
• Surveillez-vous systématiquement des personnes (vidéosurveillance, suivi en ligne, géolocalisation) ?
• Traitez-vous des données sensibles ou hautement personnelles (santé, biométrie, données financières) ?
• Le traitement est-il réalisé à grande échelle ?
• Croisez-vous ou combinez-vous plusieurs ensembles de données ?
• Le traitement concerne-t-il des personnes vulnérables (mineurs, patients, salariés) ?
• Utilisez-vous une technologie innovante (IA, reconnaissance faciale, objets connectés) ?
• Le traitement peut-il priver une personne d'un droit, d'un service ou d'un contrat ?

Un seul critère rempli peut déjà suffire si vous estimez que le risque est élevé. Dans ce cas, la CNIL recommande de réaliser l'AIPD par précaution.

Que se passe-t-il si vous omettez une AIPD ?

Omettre une AIPD obligatoire constitue un manquement à l'article 35 du RGPD, sanctionné au titre de l'article 83.4 par une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà de la sanction financière, trois conséquences pèsent sur votre organisme :

• Vous perdez la trace documentaire qui démontre votre conformité en cas de contrôle de la CNIL.
• Les risques non identifiés se matérialisent plus souvent en violations de données, avec les obligations de notification et l'atteinte à la réputation qui en découlent.
• Un traitement à risque résiduel élevé lancé sans consultation préalable de la CNIL (article 36 du RGPD) peut être suspendu ou limité par l'autorité.

Qui devrait participer à la réalisation d'une AIPD ?

Une AIPD nécessite la collaboration de plusieurs équipes afin de garantir une analyse d'impact relative à la protection des données (AIPD) complète. Voici les principales parties prenantes à impliquer :

• Délégué à la protection des données (DPO) : le DPO conseille et accompagne la démarche. Il éclaire l'organisme sur les questions de conformité au RGPD et de protection des données. Si votre organisme n'a pas de DPO, désignez une personne possédant une expertise suffisante en matière de protection des données.
• Chefs de projet : les personnes qui supervisent les traitements concernés fournissent des informations sur la finalité, la portée et les méthodes de collecte des données.
• Équipe juridique : le service juridique veille à ce que l'AIPD réponde aux exigences réglementaires et aide à interpréter les risques ou obligations juridiques liés aux traitements.
• Équipes informatiques et de sécurité : elles mettent en œuvre les mesures techniques et s'assurent que les traitements sont sécurisés et conformes aux normes de protection des données.
• Sous-traitants : des sous-traitants peuvent être impliqués dans le traitement des données personnelles. Il est essentiel de les associer pour s'assurer qu'ils respectent les mêmes normes de protection des données.

Comment réaliser une analyse d'impact relative à la protection des données

La réalisation d'une AIPD suit une série d'étapes qui permettent d'identifier les risques et de définir les mesures pour les réduire. Voici le guide étape par étape :

Étapes essentielles de la réalisation d'une AIPD

1. Décrire le traitement : décrivez la portée, la finalité et le contexte du traitement. Identifiez le type de données personnelles collectées, la manière dont elles seront utilisées et les parties prenantes impliquées.
2. Évaluer les mesures de sécurité : identifiez les mesures de protection existantes, telles que les contrôles d'accès, le chiffrement et l'anonymisation, afin de mesurer le niveau actuel de protection des données.
3. Évaluer les risques : analysez les risques potentiels pour les droits et libertés des personnes : atteintes à la vie privée, violations de données et non-respect du RGPD. Cette étape peut prendre plusieurs semaines, pour les projets complexes.
4. Proposer des mesures de réduction des risques : élaborez et mettez en œuvre des mesures visant à réduire les risques, notamment le chiffrement, l'anonymisation ou la minimisation des données collectées. La durée dépend de la nature des risques et de la faisabilité des mesures.
5. Consulter les parties prenantes : consultez les parties prenantes concernées, y compris les personnes dont les données sont traitées, pour vous assurer que tous les risques sont compris. Si le risque résiduel reste élevé malgré les mesures prévues, la consultation préalable de la CNIL s'impose : l'article 36.2 du RGPD lui accorde huit semaines pour rendre son avis, prolongeables de six semaines pour les dossiers complexes.
6. Documenter l'AIPD : conservez une trace détaillée de l'ensemble du processus, y compris les risques identifiés et les mesures de réduction, afin de répondre aux audits ou aux contrôles. Comptez une à deux semaines après l'examen final.
7. Valider l'AIPD : l'AIPD doit être documentée, révisée et approuvée en interne par le responsable de traitement. L'avis du DPO, s'il existe, doit être recueilli et consigné au cours du processus.

Outils et modèles

De nombreux organismes utilisent un modèle d'AIPD RGPD pour standardiser leurs évaluations. Ces modèles incluent des listes de contrôle, des cadres d'évaluation des risques et des exemples. La CNIL met à disposition un logiciel open source (PIA) qui facilite la conduite et la formalisation des analyses d'impact. Le CEPD a par ailleurs lancé un modèle européen pour harmoniser les analyses d'impact RGPD. Enfin, un DPO externalisé fournit des modèles d'AIPD personnalisables selon vos besoins.

Voici un exemple de structure de modèle d'AIPD à personnaliser :

1. Présentation du projet

• Nom du projet :
• Chef de projet :
• Département / équipe :
• Date de l'AIPD :
• Réviseur(s) :

1.1 Description du projet

Fournissez un résumé du projet, y compris ses objectifs, sa portée et tout contexte pertinent. Décrivez comment les données personnelles seront traitées, y compris le type de données et la finalité.

2. Évaluation du traitement des données

2.1 Nature du traitement

• Types de données personnelles : [Ajouter du texte] (par exemple, nom, adresse e-mail, adresse IP, données de santé)
• Catégories de personnes concernées : [Ajouter du texte] (par exemple, clients, salariés, prestataires)
• Opérations de traitement : [Ajouter du texte] (par exemple, collecte, stockage, partage, transfert, suppression)

2.2 Finalité du traitement

Décrivez les finalités spécifiques pour lesquelles les données personnelles sont traitées.

3. Base légale du traitement

• Consentement :
• Contrat :
• Obligation légale :
• Intérêts légitimes :
• Autre (précisez) :

4. Évaluation de la nécessité et de la proportionnalité

4.1 Nécessité du traitement

Expliquez pourquoi le traitement des données personnelles est nécessaire pour atteindre l'objectif du projet.

4.2 Proportionnalité

Assurez-vous que l'étendue du traitement des données est proportionnelle à la finalité prévue et n'excède pas ce qui est requis.

5. Mesures de sécurité des données

Décrivez les mesures techniques et organisationnelles qui seront prises pour garantir la sécurité des données, telles que :

• Chiffrement.
• Contrôles d'accès.
• Anonymisation des données.
• Audits et surveillance réguliers.

6. Partage et transferts de données

• Destinataires des données : [Ajouter du texte] (par exemple, sous-traitants, prestataires externes)
• Transferts internationaux de données : [Ajouter du texte] (incluez tous les transferts transfrontaliers, avec les pays destinataires et les garanties telles que les clauses contractuelles types ou les règles d'entreprise contraignantes)

7. Évaluation des risques

7.1 Risques potentiels pour les personnes concernées

• Risque : [Ajouter du texte] (accès non autorisé, violations de données, perte de confidentialité)
• Incidence : [Ajouter du texte] (par exemple, perte financière, atteinte à la réputation, vol d'identité)
• Probabilité : [Ajouter du texte] (par exemple, rare, probable, fréquent)

7.2 Mesures de réduction des risques

Dressez la liste des étapes ou des contrôles qui seront mis en œuvre pour traiter les risques identifiés.

8. Conservation et suppression des données

• Période de conservation : [Ajouter du texte] (combien de temps les données seront-elles conservées)
• Politique de suppression : [Ajouter du texte] (décrivez comment et quand les données seront supprimées en toute sécurité)

9. Droits des personnes concernées

Précisez comment les personnes seront informées de leurs droits et comment l'organisme traitera les demandes concernant :

• L'accès aux données.
• La rectification.
• L'effacement (droit à l'oubli).
• La portabilité des données.
• Les oppositions au traitement.

10. Consultation des parties prenantes

• Parties prenantes internes consultées : [Ajouter du texte] (liste des équipes ou des personnes impliquées dans l'AIPD)
• Consultation externe (si nécessaire) : [Ajouter du texte] (par exemple, conseillers juridiques, CNIL, personnes concernées)

11. Approbation et validation

• Nom et signature du responsable du projet :
• Nom et signature du délégué à la protection des données :
• Date d'approbation :

Contrôle de version

• Version :
• Date :
• Modifications apportées :

Conseils pratiques

• Commencez tôt : lancez l'AIPD dès que possible pour éviter des retards dans le lancement de votre projet.
• Soyez exhaustif : une AIPD complète permettra de gagner du temps par la suite en garantissant que tous les risques potentiels ont été identifiés et traités.
• Engagez des experts externes : si votre organisme manque d'expertise interne, faites appel à des experts externes tels que DPO Consulting pour vous accompagner dans la démarche.

Une AIPD est-elle obligatoire aux États-Unis ?

Non, les États-Unis n'imposent pas d'AIPD au niveau fédéral, faute de loi générale sur la protection des données équivalente au RGPD. En revanche, une entreprise américaine qui traite les données personnelles de résidents de l'UE reste soumise au RGPD et peut donc être tenue de réaliser une AIPD.

Aux États-Unis, des lois sectorielles, telles que la loi HIPAA (Health Insurance Portability and Accountability Act), imposent la protection des données personnelles. Bien que les AIPD ne soient pas explicitement exigées par les lois américaines, les évaluations de confidentialité (les PIA, Privacy Impact Assessments) sont courantes dans des secteurs comme la santé et la finance.

Les organismes qui traitent des données personnelles sensibles ou à grande échelle devraient envisager de mener une AIPD afin de s'aligner sur les normes internationales et de protéger la vie privée des personnes concernées.

Principaux défis liés à la mise en œuvre d'une AIPD

Les principaux défis d'une AIPD tiennent au périmètre, aux ressources, à l'équilibre entre protection et efficacité, et à la mobilisation des parties prenantes :

• Déterminer le périmètre : identifier quand une AIPD est requise et en définir le périmètre reste l'exercice le plus délicat. Une mauvaise évaluation peut entraîner des manquements de conformité.
• Mobilisation des ressources : une AIPD peut prendre beaucoup de temps et d'investissement, en particulier pour les grands organismes dont les traitements sont complexes.
• Réduire les risques sans compromettre l'efficacité : des mesures trop lourdes peuvent parfois ralentir les processus ou réduire l'efficacité d'un système. Trouver le juste équilibre entre la protection des données et l'efficacité opérationnelle fait partie intégrante de la démarche.
• Mobiliser les parties prenantes : réunir toutes les parties prenantes nécessaires peut représenter un défi logistique, en particulier avec des sous-traitants ou des prestataires externes.

Dissiper les idées reçues courantes sur l'AIPD

La signification de l'AIPD est parfois mal comprise, ce qui conduit des organismes à ne pas la réaliser quand elle est requise ou, à l'inverse, à multiplier des évaluations inutiles. Trois idées reçues reviennent souvent :

• « Seules les grandes entreprises ont besoin d'une AIPD. » Si les grandes entreprises sont plus susceptibles de mener des traitements complexes soumis à AIPD, toute entreprise traitant des données personnelles à risque élevé peut être tenue d'en réaliser une.
• « Les AIPD ne concernent que les nouveaux projets. » Une AIPD existante doit être revue dès qu'un traitement évolue : nouvelle méthode de collecte, nouvelle finalité ou nouveau destinataire des données.
• « Les AIPD éliminent tous les risques. » Une AIPD n'est pas conçue pour éliminer tous les risques possibles, mais pour identifier et réduire les risques importants liés aux données personnelles. Il s'agit de ramener le risque à un niveau acceptable et de démontrer la conformité à l'approche par les risques du RGPD.

Restez conforme avec DPO Consulting

De nombreux organismes ont besoin d'un accompagnement pour répondre aux exigences du RGPD et de l'AIPD. Les consultants de DPO Consulting vous expliquent concrètement ce que signifie AIPD pour vos traitements, réalisent vos analyses d'impact relatives à la protection des données (AIPD) et sécurisent votre conformité.

Spécialiste de la protection des données personnelles depuis plus de dix ans, DPO Consulting accompagne les organismes de toutes tailles et de tous secteurs, de la conformité au RGPD à l'externalisation complète de la fonction de délégué à la protection des données (DPO). Ses équipes détectent les points de blocage en amont, pilotent la mise en conformité et vous aident à éviter les sanctions.

DPO Consulting : votre partenaire en matière de conformité au RGPD

La mise en conformité au RGPD pèse sur les grandes entreprises comme sur les PME. S'appuyer sur une ressource externe allège la charge des équipes internes ainsi que la pression sur les budgets, les outils et l'expertise disponibles.

Les experts de DPO Consulting agissent comme une extension de votre équipe : ils structurent vos audits, identifient les points à corriger, mettent en œuvre les changements nécessaires et pilotent votre conformité au RGPD dans la durée.

Vous savez désormais répondre à la question « qu'est-ce qu'une AIPD ». Pour passer à l'action, prenez rendez-vous avec un expert RGPD : nos consultants évaluent vos traitements, réalisent vos analyses d'impact et vous font gagner un temps précieux tout en allégeant la charge de vos équipes.

FAQ

Une AIPD peut-elle identifier et réduire les risques de conformité avant le démarrage d'un projet ?

Oui, c'est précisément son objet. Réalisée dès la phase de conception, l'AIPD identifie les risques du traitement avant sa mise en œuvre et permet d'intégrer les mesures de réduction directement dans le projet, plutôt que de corriger après coup.

Une AIPD est-elle une évaluation ponctuelle ou doit-elle être révisée régulièrement ?

Une AIPD est un document vivant. Elle doit être revue à chaque évolution significative du traitement (nouvelle finalité, nouvelles données, nouveau destinataire) et réexaminée à intervalles réguliers pour vérifier que les risques et les mesures restent à jour.

Qui approuve l'AIPD finale avant le début du traitement des données ?

Le responsable de traitement approuve l'AIPD finale. L'avis du délégué à la protection des données (DPO) doit être recueilli et documenté, et si le risque résiduel reste élevé, la CNIL doit être consultée avant le lancement du traitement (article 36 du RGPD).

Quels documents doivent figurer dans une AIPD complétée ?

L'article 35.7 du RGPD impose au minimum quatre éléments : une description systématique du traitement et de ses finalités, une évaluation de la nécessité et de la proportionnalité, une évaluation des risques pour les droits et libertés des personnes, et les mesures prévues pour traiter ces risques.

Les organisations peuvent-elles utiliser un modèle d'AIPD pour chaque projet ?

Un modèle commun est un bon point de départ pour standardiser la démarche, mais chaque AIPD doit être adaptée au traitement concerné : les données, les finalités et les risques diffèrent d'un projet à l'autre, et l'analyse doit le refléter.

Comment une AIPD favorise-t-elle la responsabilité au regard du RGPD ?

L'AIPD matérialise le principe de responsabilité (accountability) des articles 5.2 et 24 du RGPD : elle constitue la preuve documentée que votre organisme a identifié les risques, choisi des mesures adaptées et pris ses décisions en connaissance de cause, ce qui est déterminant en cas de contrôle.

References (APA 7th)

• CNIL. (n.d.). L'analyse d'impact relative à la protection des données (AIPD). https://www.cnil.fr/fr/RGPD-analyse-impact-protection-des-donnees-aipd
• CNIL. (n.d.). Ce qu'il faut savoir sur l'analyse d'impact relative à la protection des données (AIPD). https://www.cnil.fr/fr/ce-quil-faut-savoir-sur-lanalyse-dimpact-relative-la-protection-des-donnees-aipd
• CNIL. (2019). Analyse d'impact relative à la protection des données : publication d'une liste des traitements pour lesquels une analyse n'est pas requise. https://www.cnil.fr/fr/liste-traitements-aipd-non-requise
• Union européenne. (2016). Règlement (UE) 2016/679 (RGPD), articles 35, 36 et 83. EUR-Lex. https://eur-lex.europa.eu/eli/reg/2016/679/oj