AIPD pour collectivités territoriales en France

Cet article sur l’AIPD pour les collectivités territoriales en France explique quand et comment évaluer les risques liés aux traitements de données personnelles et définir des mesures proportionnées. Ce guide s’adresse aux élus, DSI, DPO, responsables RGPD et responsables de projet. Il propose une méthode opérationnelle, des exemples concrets et des conseils de gouvernance.

Qu’est‑ce qu’une AIPD pour les collectivités territoriales en France ?

L’AIPD pour les collectivités territoriales en France (analyse d’impact relative à la protection des données) est un outil méthodique. Elle identifie les risques pour les droits et libertés des personnes concernées et propose des mesures pour les réduire. La réalisation d’une AIPD est requise lorsque le traitement est susceptible d’engendrer un risque élevé.

Objectifs concrets de l’AIPD pour les collectivités territoriales en France

• Protéger les administrés et les agents.
• Documenter les choix techniques et politiques.
• Démontrer la conformité au RGPD.
• Faciliter la prise de décision et la traçabilité.

Quand lancer une AIPD pour les collectivités territoriales en France ?

Une AIPD pour collectivités territoriales en France doit être envisagée avant la mise en œuvre d’un traitement susceptible d’engendrer un risque élevé pour les personnes concernées.

Si le traitement existe déjà, il reste pertinent et fortement conseillé de réaliser l’AIPD dès que possible. Elle vous permettra d’identifier les risques non anticipés et d’appliquer les mesures correctrices nécessaires pour diminuer ces risques et se conformer au RGPD.

Tout changement concernant le traitement relatif à l’AIPD mérite également une révision de l’AIPD.

Critères pratiques pour l’AIPD des collectivités territoriales en France

La CNIL reprend des critères issus des lignes directrices européennes. Parmi les critères qui peuvent rendre une AIPD nécessaire :

• Profilage / scoring (y compris le profilage automatisé), comme du scoring pour lutter contre le blanchiment de capitaux, comme créer des profils comportementaux ou marketing.
• Décision automatique produisant un effet significatif (prise de décision sans intervention humaine), comme des amendes pour excès de vitesse sur la seule base des preuves fournies par des radars automatiques)
• Surveillance systématique, par exemple d’espaces publics ou du web.
• Collecte de données sensibles (santé, origine, opinions politiques ou syndicales, etc.).
• Collecte de données à grande échelle.
• Croisement de jeux de données.
• Personnes vulnérables (patients, personnes âgées, enfants, agents de la collectivité, etc.).
• Usage innovant (utilisation de nouvelles technologies, comme de l’IA ou des caméras « augmentées »).
• Exclusion d’un droit ou d’un contrat, comme une banque passant ses clients au crible avant d’arrêter ses décisions d’octroi de prêt.

Règle pratique : si un projet coche deux critères ou plus, l’AIPD est souvent nécessaire.

Repères CNIL : deux listes utiles

La CNIL fournit des repères pratiques et deux listes utiles : une liste des traitements pour lesquels une AIPD est requise et une liste des traitements pour lesquels elle n’est pas requise. Utilisez‑les comme repères. Dans la deuxième liste, vous trouverez des traitements pour lesquels une AIPD devrait a priori être nécessaire, mais qui présentent une exception et ne nécessitent donc pas d’AIPD. Attention, ces traitements doivent néanmoins respecter le RGPD.

Méthode pas à pas pour réaliser une AIPD pour collectivités territoriales en France

La méthode ci‑dessous en 5 étapes est opérationnelle et adaptée aux contraintes des collectivités.

1) Décrire le traitement

• Définissez la finalité du traitement en une phrase claire.
• Listez les catégories de données collectées.
• Identifiez les acteurs (responsable de traitement, sous‑traitants) et les destinataires.
• Précisez la durée de conservation et les flux de données (interne vers/à partir d’externe).

2) Cartographier les risques

• Pour chaque finalité, identifiez les risques pour les droits et libertés (ex. atteinte à la vie privée, discrimination).
• Évaluez la gravité (impact du risque sur la personne) et la probabilité du risque (fréquence/échelle pour que ce risque survienne).
• Classez les risques (faible / moyen / élevé).

3) Définir et prioriser les mesures

• Mesures techniques : chiffrement, pseudonymisation, contrôle d’accès, journalisation.
• Mesures organisationnelles : procédures, formation, limitation d’accès, contrats avec sous‑traitants.
• Priorisez les mesures selon le risque résiduel attendu.

4) Documenter et décider

• Rédigez au fur et à mesure le rapport : contexte, analyse des risques, mesures retenues, décision.
• Associez la décision à un responsable (DPO, direction) et archivez la preuve.
• Si nécessaire, associez une décision politique (élu signataire).

5) Suivre et réviser

• Mettez en place un plan de suivi (indicateurs, revues périodiques).
• Révisez l’AIPD en cas d’évolution du traitement, d’incident ou de changement technologique.

Exemples concrets et points d’attention

Vidéoprotection

• Justifiez la finalité publique.
• Limitez la zone et la durée de conservation.
• Restreignez les accès et journalisez les consultations.
• Documentez le choix des caméras et des algorithmes.
• Informez (panneaux d’affichage + information détaillée sur site internet)

Systèmes RH ou profilage des agents

• Évaluez l’impact sur la carrière et les droits des agents.
• Prévoyez un recours humain pour les décisions automatisées.
• Limitez les données utilisées au strict nécessaire.

Bases de données santé ou d’accompagnement social

• Traitez ces données comme sensibles.
• Restreignez l’accès et chiffrez les données au repos et en transit.
• Préférez l’anonymisation quand c’est possible.

Projets d’IA pour la décision publique

• Documentez les jeux de données et les tests de biais.
• Prévoyez la transparence sur les finalités et les critères.
• Maintenez une supervision humaine et des mécanismes de recours.
• Se conformer à l’IA Act.

Gouvernance, organisation et bonnes pratiques

• Impliquer élus, DPO, services métiers et IT dès la conception du traitement et le début de l’AIPD.
• Former les équipes opérationnelles aux enjeux AIPD.
• Rédiger des rapports concis et concrets.
• Conserver les preuves (décisions, tests, comptes rendus).
• Prioriser les mesures proportionnées au risque et au budget.

Outils et ressources utiles

La CNIL propose des ressources pratiques : liste des types de traitements, infographies, et un outil PIA téléchargeable pour structurer l’analyse. Ces ressources aident à vérifier l’obligation d’AIPD et à suivre une méthode reconnue.

Erreurs fréquentes à éviter

• Sous‑estimer la portée d’un traitement.
• Rédiger des rapports trop longs et peu exploitables.
• Omettre la preuve de la décision politique ou technique.
• Ne pas réévaluer l’AIPD après l’évolution du projet.

Conclusion

L’AIPD pour les collectivités territoriales en France est un outil de gouvernance essentiel. Elle protège les administrés, structure les choix techniques et politiques, et facilite la démonstration de conformité au RGPD. Lancez l’AIPD tôt, impliquez les parties prenantes et documentez chaque étape.

Besoin d’un pré-diagnostic gratuit sur le besoin ou non de réaliser une ou des AIPD au sein de votre organisme, ou pour vous accompagner dans la démarche ? Contactez‑moi via https://dmouvrard.com/nous-contacter/ ou prenez rendez-vous sur https://meet.brevo.com/mickael-ouvrard/diagnostic-flash pour un appui opérationnel.

Découvrez également ici l’ensemble de nos services.