AIPD et RGPD : les traitements dispensés d’analyse d’impact par la CNIL

La CNIL a adopté cette liste par la délibération n°2019-118 du 12 septembre 2019, publiée au Journal officiel. Cette délibération précise les traitements pouvant bénéficier d’une dispense d’AIPD, tout en rappelant que ces traitements restent soumis à l’ensemble des autres obligations prévues par le RGPD et la loi Informatique et Libertés.

Parmi les traitements dispensés d’analyse d’impact figurent notamment certains traitements de ressources humaines, lorsqu’ils sont mis en œuvre par des organismes employant moins de 250 personnes, à l’exclusion du profilage. Sont également concernés les traitements de gestion de la relation fournisseurs, les traitements destinés à la gestion des activités des comités sociaux et économiques, ainsi que certains traitements réalisés par des associations, fondations ou institutions sans but lucratif pour la gestion de leurs membres et donateurs, à condition qu’ils ne portent pas sur des données sensibles.

La dispense d’AIPD concerne également certains traitements de données de santé nécessaires à la prise en charge d’un patient par un professionnel de santé exerçant à titre individuel, notamment au sein d’un cabinet médical, d’une officine de pharmacie ou d’un laboratoire de biologie médicale.

Cette liste ne constitue pas une exonération générale de conformité. Les responsables de traitement doivent continuer à respecter les principes fondamentaux du RGPD : tenue du registre des traitements, information des personnes concernées, sécurité des données, limitation des finalités, minimisation des données, gestion des droits des personnes et documentation de la conformité.

La publication de cette liste permet aux organismes de mieux identifier les situations dans lesquelles une AIPD n’est pas obligatoire, tout en sécurisant leur démarche de conformité RGPD.