Réexaminer une AIPD après un changement de produit
Vérifier si une évolution de produit modifie les risques d’une AIPD et documenter les mesures à revoir avant le lancement.
Une AIPD décrit le service lors de son lancement. Six mois plus tard, une fonction ajoute un nouvel accès, une catégorie de données ou un usage automatisé. Réutiliser la conclusion initiale sans comparer les opérations peut masquer un changement important. La revue doit expliquer ce qui évolue, ce que cela change pour les personnes et quelles mesures restent adaptées.
Ce qu’il faut retenir
- L’article 35(11) prévoit un examen si nécessaire, au moins lorsque le risque présenté par les opérations change.
- Le nom du produit ou le numéro de version ne détermine pas à lui seul le besoin de révision.
- Une revue peut être ciblée, mais doit suivre les effets du changement sur l’ensemble pertinent du traitement.
- Une AIPD révisée doit déboucher sur des décisions et des mesures, pas seulement une nouvelle date.
Comparer le traitement prévu au traitement analysé
L’article 35(7) prévoit notamment une description des opérations et finalités, une évaluation de la nécessité et de la proportionnalité, une analyse des risques pour les personnes et les mesures envisagées. Utilisez ces quatre composantes comme grille de comparaison. L’article 35(11) demande d’évaluer, si nécessaire et au moins lors d’une modification du risque, si le traitement reste conforme à l’analyse. RGPD, chapitre IV.
Le guide général de l’AIPD présente la démarche initiale. La revue d’évolution part, elle, d’une version identifiée et de changements précis.
| Changement | Question pour la revue | Pièce à obtenir |
|---|---|---|
| Nouvelle donnée | Est-elle nécessaire et plus sensible ? | Dictionnaire et finalité du champ |
| Nouvel accès | Qui peut consulter ou exporter ? | Matrice d’habilitations |
| Nouveau calcul | Change-t-il les conséquences pour la personne ? | Description de la décision et des garanties |
| Extension du public | Des personnes plus vulnérables sont-elles concernées ? | Parcours et population envisagés |
| Nouveau fournisseur | Modifie-t-il les accès, lieux ou garanties ? | Architecture et engagements vérifiés |
Ces événements sont des déclencheurs de vérification, pas une liste légale exhaustive imposant une AIPD entièrement nouvelle à chaque modification.
Mesurer l’effet sur les personnes
Exemple hypothétique : un outil permettait seulement à un agent de consulter un dossier. La nouvelle fonction autorise l’export de l’historique complet. Les données et la finalité annoncée semblent identiques, mais la facilité de copie et de diffusion change le scénario d’accès abusif.
Évaluez la gravité et la vraisemblance des conséquences pour les personnes, puis la capacité des mesures existantes à y répondre. Ne réduisez pas l’analyse à la perte financière pour l’entreprise. La CNIL rappelle cette orientation et la nécessité de maintenir l’AIPD dans le temps. CNIL, comprendre l’AIPD.
Vérifiez aussi les droits : la nouvelle fonctionnalité crée-t-elle des copies impossibles à retrouver ou des traitements qui ignorent une limitation ? La propagation des rectifications offre un exemple de contrôle transversal au produit.
Arrêter le périmètre de révision et les prérequis
Documentez les sections modifiées, celles confirmées et les raisons de ce choix. Si les hypothèses de l’AIPD initiale ne correspondent plus au traitement, une refonte plus large peut être nécessaire. Une simple annexe est suffisante uniquement si elle permet de comprendre et d’évaluer correctement le traitement résultant.
Lorsque le DPO a été désigné, son conseil doit être demandé pour l’AIPD, conformément à l’article 35(2). Associez également les personnes capables de confirmer les mesures techniques et les pratiques métier.
Si un risque résiduel élevé demeure, examinez la consultation préalable prévue par l’article 36(1). La CNIL précise que la persistance d’un tel risque impose sa consultation. Une validation interne ne remplace pas cette démarche lorsque ses conditions sont réunies. CNIL, cas de transmission de l’AIPD.
Conserver un historique de décision
La fiche de revue indique : version initiale, changement, risques réexaminés, avis recueillis, mesures, responsables, preuves et décision sur la mise en service. Les mesures annoncées comme préalables doivent être effectives avant l’opération qu’elles conditionnent.
En cas de désaccord, consignez l’arbitrage entre DPO et direction sans transformer une réserve en approbation. Programmez ensuite un contrôle proportionné permettant de vérifier que le paramétrage déployé correspond à celui analysé.
FAQ
Faut-il refaire une AIPD tous les ans ?
Le RGPD ne fixe pas une périodicité annuelle universelle. Organisez une revue adaptée aux évolutions et aux risques, en respectant notamment le déclencheur de l’article 35(11).
Une correction de sécurité peut-elle justifier une revue ?
Oui, si elle modifie les hypothèses, mesures ou risques pertinents. Elle peut réduire le risque ; il reste utile de documenter ce résultat et les éventuels effets secondaires.
L’AIPD du fournisseur remplace-t-elle celle du client ?
Elle peut apporter des informations. Le responsable doit toutefois analyser son propre usage, ses finalités, sa population et son paramétrage ; les conclusions génériques du fournisseur ne suffisent pas automatiquement.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.