Vous avez installé un logiciel qui mesure l’activité de vos salariés en télétravail, des caméras qui filment vos locaux en continu ou un outil d’intelligence artificielle qui trie des candidatures ou attribue des scores. Le dispositif fonctionne, les équipes l’ont adopté, puis un courrier de la Commission nationale de l’informatique et des libertés arrive : contrôle sur place, demande de documents, questions sur l’analyse d’impact relative à la protection des données. Cette analyse, appelée AIPD, que vous n’avez jamais menée, devient soudain le centre du dossier. Le 19 décembre 2024, la formation restreinte de la CNIL a sanctionné d’une amende de 40 000 euros une entreprise du secteur immobilier qui surveillait ses salariés par un logiciel comptabilisant des périodes d’inactivité supposée, réalisant des captures d’écran régulières et les filmant en permanence, sans avoir réalisé l’analyse d’impact exigée pour une surveillance aussi systématique. La délibération a été publiée, sans nommer la société compte tenu de sa petite taille et du retrait immédiat du logiciel lors du contrôle, mais le message vaut pour toutes les structures : l’absence d’AIPD se paie, même quand l’entreprise coopère et corrige vite.
L’AIPD n’est ni une formalité de papier ni un audit de sécurité parmi d’autres. Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, le responsable du traitement doit l’effectuer avant de mettre en œuvre le traitement, en y associant son délégué à la protection des données et, le cas échéant, les personnes concernées. À défaut, le contrôle de la CNIL débouche sur une mise en demeure de se mettre en conformité dans un délai fixé, puis sur une sanction pécuniaire publique qui peut atteindre, pour les manquements aux dispositions relatives à l’analyse d’impact, 10 000 000 euros ou 2 % du chiffre d’affaires annuel mondial. Le contentieux porté devant le Conseil d’État montre que les juges valident ces sanctions dès lors que la gravité des faits, l’ampleur des données touchées et les antécédents le justifient, et que l’absence de mise en demeure préalable n’empêche pas la sanction directe.
Cet article explique quand votre projet exige une AIPD et ce qu’elle doit contenir pour résister au contrôle, puis comment la procédure de la CNIL se déroule de la mise en demeure à la sanction, comment régulariser un dispositif déjà déployé et quels moyens de contestation fonctionnent réellement devant le juge. Si votre registre des traitements reste à construire, commencez par la méthode décrite dans notre dossier sur le registre des traitements RGPD conforme pour passer le contrôle CNIL, car l’AIPD s’appuie sur cet inventaire. Et si aucun délégué à la protection des données n’est désigné dans votre structure, lisez aussi notre analyse sur le contrôle CNIL sans DPO désigné et la régularisation à mener, puisque le délégué doit être consulté pendant l’analyse.
I. Savoir quand votre projet exige une analyse d’impact et la construire pour qu’elle tienne au contrôle
L’obligation ne pèse pas sur tous les traitements. Elle vise ceux qui, par leur nature, leur portée, leur contexte ou leurs finalités, sont susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Trois textes se combinent : le règlement européen qui pose l’obligation et son contenu, les listes publiées par la CNIL qui précisent les cas concernés, et les sanctions qui illustrent, projet par projet, ce que l’autorité attend.
A. Les traitements à risque élevé : surveillance des salariés, vidéosurveillance, biométrie, scoring et intelligence artificielle
Le règlement impose au responsable du traitement d’effectuer son analyse avant de mettre en œuvre le traitement, dès lors que celui-ci, en particulier par le recours à de nouvelles technologies et compte tenu de sa nature, de sa portée, de son contexte et de ses finalités, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques (article 35, paragraphe 1 du RGPD). Trois familles de traitements exigent en particulier cette analyse : l’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, y compris le profilage, dès lors que des décisions produisant des effets juridiques en découlent ; le traitement à grande échelle de catégories particulières de données, notamment les données de santé ; ainsi que la surveillance systématique à grande échelle d’une zone accessible au public. Concrètement, un logiciel qui note l’activité de chaque salarié en télétravail, un système de géolocalisation permanente des véhicules de service, des caméras couplées à de la reconnaissance faciale, un algorithme qui écarte des candidatures ou un outil qui détecte la fraude à partir de données clients entrent dans ces catégories dès lors que l’évaluation est systématique et que ses effets pèsent sur les personnes.
La CNIL a publié deux listes qui rendent l’obligation opérationnelle : l’une énumère les types d’opérations pour lesquelles l’analyse est requise, l’autre ceux pour lesquels elle ne l’est pas (listes des traitements pour lesquels une AIPD est requise ou non). Avant de lancer un projet, la vérification se fait en trois temps : le traitement figure-t-il sur la liste des cas où l’analyse est requise, présente-t-il au moins deux des critères de risque élevé définis au niveau européen, ou un seul critère accompagné d’un risque que vous identifiez vous-même. Dans le doute, la prudence commande de mener l’analyse, car son coût reste sans commune mesure avec celui d’une sanction et car elle protège aussi le déploiement du projet en obligeant à trancher tôt les questions de finalité, de base légale et de durée de conservation.
La sanction du 19 décembre 2024 illustre le raisonnement de l’autorité. La société immobilière avait installé sur les ordinateurs de certains salariés un logiciel de suivi paramétré pour comptabiliser des périodes d’inactivité supposée et effectuer des captures d’écran régulières, susceptibles de révéler des éléments d’ordre privé tels que des courriels personnels ou des mots de passe, tandis qu’un système de vidéosurveillance captait en continu les images et le son des salariés dans des locaux servant à la fois de lieu de travail et d’espace de pause. La formation restreinte a constaté que la société n’avait mené aucune analyse d’impact pour les traitements mis en œuvre via ce logiciel de surveillance des postes, alors même que leurs paramètres permettaient une surveillance systématique des salariés, donc un risque élevé pour leurs droits et libertés, et elle en a déduit que l’analyse aurait dû être réalisée avant le déploiement (sanction du 19 décembre 2024 commentée par la CNIL). Retenez la méthode : la CNIL part des paramètres réels du dispositif, qualifie la surveillance de systématique, en déduit le risque élevé, puis constate l’absence d’analyse préalable. Tout employeur qui déploie un outil de mesure de l’activité, y compris en télétravail, s’expose au même raisonnement, comme l’illustre du côté des salariés notre dossier sur le télétravail surveillé par keylogger ou captures d’écran. Les traitements biométriques, comme la reconnaissance faciale, relèvent quant à eux des catégories particulières de données visées par l’analyse obligatoire, dès lors qu’ils sont mis en œuvre à grande échelle.
B. Le contenu obligatoire de l’analyse, l’avis du délégué et la consultation préalable de la CNIL
Une analyse d’impact valable contient au minimum quatre blocs, et le contrôleur vérifie chacun d’eux : la description systématique des opérations envisagées et de leurs finalités, l’évaluation de leur nécessité et de leur proportionnalité au regard de ces finalités, l’évaluation des risques pour les droits et libertés des personnes concernées, puis les mesures prévues pour traiter ces risques, garanties et mécanismes de sécurité inclus (article 35, paragraphe 7 du RGPD). La description recense les données, les destinataires, les durées, les flux vers les prestataires et les transferts éventuels hors de l’Union européenne. L’évaluation de la nécessité et de la proportionnalité tranche les questions qui fâchent : la finalité affichée justifie-t-elle vraiment la captation du son en continu, la conservation de douze mois d’images, le scoring de chaque candidature par l’outil. L’évaluation des risques se fait en gravité et en vraisemblance, du point de vue des personnes concernées et non de l’organisme. Les mesures décrivent les garanties techniques et organisationnelles retenues : paramétrage restrictif, contrôle d’accès, chiffrement, journalisation, information des personnes, procédure d’exercice des droits, clauses avec les sous-traitants.
Le règlement impose deux consultations pendant l’analyse. D’abord, le responsable du traitement doit demander conseil à son délégué à la protection des données lorsqu’il mène l’analyse, dès lors qu’un tel délégué a été désigné (article 35, paragraphe 2 du RGPD). L’avis du délégué, puis sa vérification de l’exécution de l’analyse, doivent être documentés : un délégué nommé après coup, jamais consulté, affaiblit le dossier au contrôle. Ensuite, le responsable devrait demander l’avis des personnes concernées elles-mêmes, par exemple par une enquête ou par la consultation des représentants du personnel, ou justifier pourquoi il ne l’a pas fait. Pour un dispositif de surveillance des salariés, l’absence de consultation du comité social et économique, quand il existe, se remarque immédiatement et s’ajoute aux manquements.
Lorsque l’analyse montre que le risque résiduel reste élevé malgré les mesures prévues, le responsable doit consulter la CNIL avant de mettre en œuvre le traitement : lorsque l’analyse menée au titre de l’article 35 montre que le risque resterait élevé sans mesures d’atténuation, la consultation préalable de l’autorité de contrôle s’impose (article 36, paragraphe 1 du RGPD). L’autorité dispose alors d’un délai maximal de huit semaines pour rendre un avis écrit et peut mobiliser ses pouvoirs, y compris interdire le traitement envisagé. En pratique, cette consultation préalable reste rare parce que les organismes préfèrent renforcer leurs mesures jusqu’à ramener le risque à un niveau acceptable plutôt que de soumettre un dossier fragile. Mais l’existence même de cette procédure prouve que l’analyse n’est pas un document de façade : si vos propres conclusions écrivent noir sur blanc que le risque reste élevé et que vous déployez quand même sans consulter personne, le contrôleur n’aura aucune peine à caractériser la négligence.
La CNIL met à disposition une méthode en quatre étapes, un catalogue de bonnes pratiques et un logiciel open source, l’outil PIA, qui facilite la conduite et la formalisation de l’analyse (réaliser son AIPD avec l’outil PIA et les guides de la CNIL). Utilisez ces ressources au lieu d’un modèle générique téléchargé sans adaptation : le contrôleur compare le contenu de votre analyse aux paramètres réels du dispositif constatés sur place. Une analyse copiée d’un autre projet, qui décrit un paramétrage différent de celui qu’il observe, vaut aveu. Prévoyez aussi le réexamen : le règlement exige de vérifier, au moins à chaque modification du risque, que le traitement reste effectué conformément à l’analyse. Chaque évolution du logiciel, chaque ajout de caméra, chaque nouvel usage des scores doit donc déclencher une mise à jour tracée. Enfin, coordonnez l’analyse avec le reste de la conformité : registre des traitements à jour, contrat avec chaque sous-traitant précisant l’aide qu’il doit fournir pour l’analyse, durées de conservation resserrées, information des personnes complétée. Une AIPD solide se reconnaît à ce qu’elle renvoie à des pièces réelles, pas à des engagements futurs.
II. Du contrôle à la sanction : régulariser vite, plaider utile et contester devant le juge
Quand la CNIL frappe à la porte, le dossier se joue en trois actes : le contrôle et la mise en demeure, la sanction éventuelle de la formation restreinte, puis le recours devant le Conseil d’État. À chaque acte correspondent des réflexes qui aggravent ou qui sauvent, et la jurisprudence récente donne des repères chiffrés.
A. Mise en demeure, sanction pécuniaire et injonction : ce que la CNIL peut prononcer et ce que le juge valide
Les agents habilités de la CNIL disposent de pouvoirs étendus : « En dehors des contrôles sur place et sur convocation, ils peuvent procéder à toute constatation utile », y compris en ligne, et « Il est dressé procès-verbal des vérifications et des visites menées en application du présent article », de façon contradictoire pour les contrôles sur place (article 19 de la loi du 6 janvier 1978). Lorsque des manquements sont constatés, le dossier débouche sur une phase de mise en conformité. La loi prévoit que « le président de la Commission nationale de l’informatique et des libertés peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe » (article 20 de la loi du 6 janvier 1978). Le délai peut être ramené à vingt-quatre heures en cas d’urgence, la mise en demeure peut être rendue publique, et le président prononce la clôture de la procédure lorsque la conformité est justifiée. Cette étape est une chance à saisir : une mise en conformité complète et documentée dans le délai peut clore le dossier sans sanction. À l’inverse, une réponse partielle, des pièces produites tardivement ou un dispositif maintenu en l’état conduisent à la saisine de la formation restreinte, qui prononce la sanction après une procédure contradictoire. Cette procédure est écrite et contradictoire : le rapport du membre désigné pour l’instruction « est notifié au responsable de traitement ou à son sous-traitant, qui peut déposer des observations et se faire représenter ou assister » (article 22 de la loi du 6 janvier 1978).
Les montants en jeu doivent être regardés en face. Pour les manquements aux dispositions relatives à l’analyse d’impact, la CNIL rappelle que l’amende peut atteindre 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu (sanctions prévues en cas de manquement à l’analyse d’impact). La formation restreinte peut assortir sa décision d’une injonction de mise en conformité sous astreinte et ordonner sa publication, nominative ou non. En cas d’urgence, elle peut aussi ordonner « L’interruption provisoire de la mise en œuvre du traitement, y compris d’un transfert de données hors de l’Union européenne, pour une durée maximale de trois mois », et assortir ses injonctions d’une astreinte pouvant atteindre 100 000 euros par jour de retard à compter de la date qu’elle fixe (article 21 de la loi du 6 janvier 1978). Dans l’affaire immobilière de décembre 2024, l’amende de 40 000 euros a tenu compte de la petite taille de la société et de sa situation financière pour rester dissuasive mais proportionnée, tandis que la publication sans dénomination visait à informer toutes les entreprises soumises à de tels dispositifs. Le message est calibré : même une petite structure paie, même quand elle retire le logiciel dès le contrôle, et la publicité de la décision avertit tout le secteur.
Deux décisions du Conseil d’État précisent les règles du jeu contentieux. Dans l’affaire de la commune de Beaucaire, la présidente de la CNIL avait, par une décision du 6 février 2023, mis la commune en demeure de remédier sous six mois à des manquements constatés lors de contrôles de 2021 sur ses dispositifs informatiques et de vidéoprotection, au regard de la sécurité des traitements et des règles applicables aux dispositifs de vidéoprotection. La commune a contesté cette mise en demeure devant le juge, qui a rejeté sa requête : « la commune de Beaucaire n’est pas fondée à demander l’annulation de la décision qu’elle attaque » (Conseil d’État, 30 avril 2024, n° 472864). Le juge a ajouté que « des conclusions à fin d’abrogation d’une décision de mise en demeure prise en application des dispositions du II de l’article 20 de la loi du 6 janvier 1978 ne sont pas recevables », ce qui signifie qu’on ne fait pas annuler une mise en demeure au prétexte qu’on s’est mis en conformité après coup : on exécute, on demande la clôture, et l’abrogation contentieuse n’est pas la voie.
Dans l’affaire Optical Center, la formation restreinte avait prononcé une amende de 250 000 euros avec injonction de mise en conformité sous astreinte de 500 euros par jour de retard, pour des manquements à l’information des personnes et à la sécurité des traitements après une attaque du site de vente en ligne. La société invoquait sa coopération active, l’absence de mise en demeure préalable, l’absence de préjudice subi par les personnes et sa mise en conformité rapide, et demandait au juge de réduire la sanction ou de poser des questions préjudicielles à la Cour de justice de l’Union européenne. Le Conseil d’État a rejeté l’ensemble : il a relevé que la société avait méconnu deux obligations élémentaires de sécurité informatique avec une négligence durable, que l’attaque avait exposé les données de plus de 200 000 personnes, dont le numéro de sécurité sociale pour 23 000 d’entre elles, et qu’elle avait déjà été sanctionnée à deux reprises en cinq ans, avant de juger que « la formation restreinte de la CNIL n’a pas, en retenant un montant de 250 000 euros, infligé une amende disproportionnée à la société Optical Center », au regard notamment d’un chiffre d’affaires de 202 millions d’euros (Conseil d’État, 26 avril 2022, n° 449284). Trois enseignements pour votre dossier : la coopération et la régularisation atténuent mais n’effacent pas, surtout en cas de récidive ; l’absence de mise en demeure préalable n’interdit pas une sanction directe ; et le montant s’apprécie au regard de la gravité, du nombre de personnes touchées, de la nature des données et des moyens de l’entreprise.
B. Régulariser un dispositif déjà déployé et construire une contestation qui porte
Si votre logiciel de surveillance, vos caméras ou votre outil de scoring fonctionnent déjà sans analyse d’impact, l’ordre des opérations compte. D’abord, figez l’état des lieux : cartographiez les données réellement collectées, les paramétrages effectifs, les accès, les durées pratiquées et les flux vers les prestataires, car le contrôleur constatera l’existant et non vos intentions. Ensuite, suspendez ou reparamétrez ce qui est manifestement excessif : la captation du son en continu dans un lieu de pause, les captures d’écran permanentes, la conservation d’images au-delà de quelques semaines ou la notation systématique sans intervention humaine ne survivront pas à l’examen de proportionnalité, et les maintenir pendant la procédure aggrave le dossier. Dans l’affaire immobilière, le retrait immédiat du logiciel a été pris en compte pour ne pas nommer la société dans la décision publiée : corriger vite protège la réputation même quand la sanction demeure.
Menez ensuite l’analyse d’impact pour de bon, avec le délégué et, pour la surveillance des salariés, avec les représentants du personnel : décrivez le traitement tel qu’il fonctionne après reparamétrage, évaluez la nécessité de chaque fonctionnalité au regard de la finalité, chiffrez les risques résiduels et arrêtez des mesures datées avec des responsables nommés. Mettez à jour le registre, les mentions d’information, les contrats de sous-traitance et les durées, puis sollicitez la clôture de la mise en demeure avec un dossier de preuves complet : captures de paramétrage, journaux, attestations, analyse signée. Si le risque résiduel reste élevé, saisissez la CNIL en consultation préalable plutôt que d’attendre qu’elle le découvre : la démarche spontanée crédibilise la bonne foi, même si elle expose le traitement à un avis contraignant.
Devant la formation restreinte puis devant le juge, concentrez vos moyens sur ce qui a déjà fonctionné ou échoué dans la jurisprudence. La proportionnalité se plaide avec des chiffres, pas avec des adjectifs : comparez le montant à votre chiffre d’affaires, au nombre de personnes concernées, à l’existence ou non d’un préjudice et à vos antécédents, en sachant que la récidive pèse lourd et que la coopération active, la mise en conformité rapide et l’absence de dommage avéré atténuent sans garantir l’annulation. L’argument tiré de l’absence de mise en demeure préalable ne suffit pas à faire annuler une sanction directe, comme l’a montré l’affaire Optical Center. Et une fois la mise en demeure prononcée, ne demandez pas au juge son abrogation au motif que vous vous êtes conformé depuis : cette voie est irrecevable, la clôture par le président de la CNIL est la sortie normale, comme l’a jugé l’affaire de la commune de Beaucaire. Préparez aussi le volet social du dossier : un dispositif de surveillance disproportionné et non déclaré expose l’employeur devant le conseil de prud’hommes, où les preuves issues d’une surveillance illicite sont écartées et où le salarié peut obtenir des dommages et intérêts en plus de l’action de la CNIL. Le code du travail l’interdit en amont : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » (article L1121-1 du code du travail), et « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » (article L1222-4 du code du travail). Chaque manquement compte double quand le traitement vise vos propres salariés.
Conclusion
L’analyse d’impact n’est pas une option pour les projets à risque : surveillance systématique des salariés, vidéosurveillance continue, biométrie, géolocalisation permanente, scoring et intelligence artificielle exigent une AIPD préalable, documentée, menée avec le délégué et réexaminée à chaque évolution. La CNIL sanctionne l’absence d’analyse pour elle-même, y compris dans les petites structures, et le juge valide des montants calibrés sur la gravité, l’ampleur et les antécédents. Si un contrôle survient, reparamétrez sans délai ce qui est excessif, menez l’analyse pour de bon, mettez à jour le registre et les contrats, puis justifiez la conformité pour obtenir la clôture de la mise en demeure. Et si la sanction tombe, contestez-la sur la proportionnalité chiffrée plutôt que sur des moyens que le Conseil d’État a déjà écartés. Un projet régularisé à temps coûte une analyse ; un projet déployé sans elle coûte une sanction publique, une injonction sous astreinte et, face aux salariés surveillés, un contentieux prud’homal en prime.