Quel modèle d'AIPD (DPIA) propose la CNIL ?
La CNIL publie une méthode d'analyse d'impact, notamment les guides « PIA » (la méthode, les modèles, les bases de connaissances), ainsi qu'un logiciel libre, PIA, pour conduire l'analyse pas à pas. Vous pouvez utiliser ce modèle ou un autre : ce qui compte, c'est que votre AIPD contienne les éléments exigés par l'article 35, paragraphe 7, du RGPD.
Ce que contient la méthode de la CNIL
Les guides « PIA » de la CNIL décrivent la démarche, proposent des modèles à remplir et fournissent des bases de connaissances (risques types, mesures possibles) pour alimenter l'analyse. Le logiciel PIA reprend cette méthode et vous guide section par section. Vous les trouverez sur cnil.fr, rubrique AIPD.
Ce qu'une AIPD doit contenir, quel que soit le modèle
L'article 35, paragraphe 7, du RGPD fixe un contenu minimal :
- une description systématique des opérations de traitement envisagées et de leurs finalités ;
- une évaluation de la nécessité et de la proportionnalité des opérations au regard des finalités ;
- une évaluation des risques pour les droits et libertés des personnes concernées ;
- les mesures envisagées pour faire face à ces risques, y compris les garanties, mesures et mécanismes de sécurité destinés à protéger les données et à démontrer le respect du règlement.
Et ensuite
Une AIPD doit décrire les mesures de sécurité qui protègent le traitement (RGPD, article 35, paragraphe 7, point d). Si ce traitement passe par Microsoft 365 (messagerie, partages, Teams), SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration réellement en place et vous donnera des faits utiles pour rédiger cette section. Ce diagnostic décrira des faits de configuration ; il ne garantira pas la conformité du traitement.
SYAGA Audit pour votre AIPD : obtenir le score gratuit
Quand l'utiliser
Le modèle ne sert que si une analyse est due ou utile. Pour savoir si votre traitement exige une AIPD, voyez quand une AIPD est-elle obligatoire selon la CNIL. L'analyse se mène avant la mise en œuvre du traitement.
Ce que le modèle ne fait pas
Remplir le modèle de la CNIL ne rend pas le traitement licite à lui seul. L'AIPD documente vos choix et les risques résiduels ; il vous reste à disposer d'une base légale, à respecter les autres principes du RGPD et à appliquer réellement les mesures décrites. Si le risque résiduel reste élevé, l'article 36 du RGPD impose de consulter la CNIL avant de commencer le traitement.
À lire aussi
Sur Microsoft 365 : comment savoir si votre Microsoft 365 est bien sécurisé, et la façon dont SYAGA Audit traite ce qu'il lit, décrite sur sa page sécurité. Pour la liste complète de la CNIL, la méthode PIA et le cas de la messagerie, de Teams et de Copilot : CNIL et DPIA, la synthèse.
Les obligations voisines : le RGPD pour une PME, NIS2, la politique de sécurité (PSSI) et la charte informatique.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit mesure votre environnement Microsoft 365 à une date donnée ; il ne se substitue pas à une démarche complète de mise en règle et ne garantit pas que vous respectiez une règle ou une réglementation. Les mesures reprennent les thèmes de l'ISO/IEC 27001 ; SYAGA n'a fait l'objet d'aucun audit par un organisme tiers sur cette norme.
Faits relus le 14/10/2026, complétés le 30/10/2026 sur les sources officielles citées (EUR-Lex, CNIL, Comité européen de la protection des données). Cette page informe ; elle ne constitue pas un conseil juridique.