Dans le cadre du plan d’action d’Helsinki, le Comité européen de la protection des données (CEPD) a soumis à consultation publique, jusqu’au 9 juin 2026, un nouveau modèle d’analyse d’impact relative à la protection des données (AIPD) (1).
L’objectif affiché est d’offrir un format commun, à l’échelle européenne, pour documenter les résultats attendus d’une AIPD au sens de l’article 35 du RGPD. Il demeure donc, à ce stade, un projet susceptible d’être modifié à l’issue de la consultation.
Un outil de documentation, sans remise en cause des outils nationaux existants
Le nouveau modèle d’AIPD du CEPD n’est pas juridiquement contraignant : les responsables de traitement peuvent continuer à conduire leurs analyses de risques selon la méthodologie de leur choix.
Le document explicatif associé au modèle d’AIPD présente ce dernier comme un outil de documentation et de reporting des résultats de l’AIPD, destiné à compléter les outils déjà disponibles plutôt qu’à s’y substituer. La Cnil précise d’ailleurs que ce modèle viendra s’ajouter à ses propres outils (modèles, méthode, bases de connaissance et logiciel PIA), sans les remettre en cause (2).
Articulation du nouveau modèle d’AIPD du CEPD en deux documents
Le projet soumis à consultation comprend deux volets complémentaires :
• un modèle d’AIPD, présenté sous forme de tableaux à renseigner par le responsable du traitement ;
• un document explicatif (3), destiné à préciser les attentes méthodologiques attachées à chacune de ses rubriques.
Une structure en sept rubriques, du cadrage au risque résiduel
Le nouveau modèle d’AIPD du CEPD se structure en sept rubriques, de la présentation générale du traitement jusqu’à la décision finale sur sa viabilité.
Le document couvre ainsi l’identification des acteurs et de la gouvernance, la description du traitement et du cycle de vie des données, l’analyse de conformité, la nécessité et la proportionnalité, l’évaluation des risques, le plan d’action et le risque résiduel, puis l’avis du DPO et la décision finale (abandon, consultation préalable, poursuite du traitement ou poursuite conditionnée à des mesures complémentaires).
Portée juridique et conséquences pratiques
À l’issue de la consultation publique, le CEPD a indiqué que les autorités de contrôle engageraient les démarches nécessaires pour adopter ce modèle, soit comme modèle unique, soit comme « méta-modèle » avec lequel les modèles nationaux devront être compatibles. Cette évolution pourrait, à terme, renforcer son intérêt pratique pour les organismes opérant dans plusieurs États membres.
S’agissant des AIPD déjà réalisées, la Cnil a précisé qu’elles demeurent valides et qu’aucune démarche particulière n’est à accomplir. Une refonte générale des AIPD existantes n’est donc pas recommandée ; une telle démarche ne paraît justifiée que lorsqu’un traitement fait déjà l’objet d’une révision ou présente une évolution significative de ses risques.
Pour les nouvelles AIPD, les organismes peuvent continuer à utiliser leur méthodologie habituelle, le modèle du CEPD pouvant servir de grille de contrôle complémentaire afin de vérifier que l’ensemble des rubriques attendues par les autorités de contrôle est effectivement couvert.
Le nouveau modèle d’AIPD du CEPD ne bouleverse pas les pratiques actuelles des organismes et n’impose pas la reprise des AIPD existantes. Il offre, en revanche, un référentiel commun susceptible de faciliter la démonstration de conformité, en particulier pour les groupes opérant dans plusieurs États membres.
(1) CEPD, modèle d’AIPD adopté en version 1.0 du 10-03-2026.
(2) CNIL, « AIPD : le CEPD lance une consultation publique sur un modèle européen », du 16-04-2026.
(3) CEPD, document explicatif du modèle d’AIPD adopté en version 1.0 du 10-03-2026.
Article coécrit avec Morgane Allouche, avocate, collaboratrice du pôle Contentieux du numérique du cabinet Lexing.
