{
    "topic_key": "ch-data-impact-assessment",
    "language": "fr",
    "slug": "analyse-impact-protection-des-donnees",
    "title": "Analyse d’impact (AIPD) selon la LPD",
    "domain": "data-protection",
    "jurisdiction_level": "federal",
    "cantons": [],
    "municipalities": [],
    "legal_status": "in_force",
    "legislative_stage": "not_applicable",
    "authority_level": "A",
    "description": "Quand la LPD impose une analyse d’impact (AIPD), ce qu’elle doit contenir, quand le PFPDT doit être consulté et quelles exceptions s’appliquent.",
    "summary": "Celui qui envisage un traitement susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux doit procéder au préalable à une analyse d’impact au sens de l’art. 22 LPD. Elle décrit le traitement envisagé, évalue les risques et consigne les mesures de protection. Si un risque élevé subsiste malgré ces mesures, le PFPDT doit être consulté préalablement; il se prononce dans un délai de deux mois. Les responsables privés peuvent en être dispensés aux conditions des al. 4 et 5 de l’art. 22 LPD, et renoncer à la consultation s’ils ont consulté leur conseiller à la protection des données. Le document se conserve au moins deux ans après la fin du traitement.",
    "body_md": "## Quand l’analyse d’impact est obligatoire\n\nL’art. 22 al. 1 LPD oblige le responsable du traitement à procéder **au préalable** à une analyse d’impact relative à la protection des données personnelles lorsque le traitement envisagé est **susceptible** d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Ce n’est donc pas la réalisation du risque qui compte, mais sa possibilité, appréciée objectivement au moment de la planification.\n\nL’obligation incombe au responsable du traitement, c’est-à-dire à la personne privée ou à l’organe fédéral qui décide seul ou conjointement de la finalité et des moyens du traitement (art. 5 let. j LPD). Le sous-traitant ne doit pas établir sa propre analyse, mais il doit permettre au responsable de remplir son obligation: celui-ci doit en effet s’assurer, en vertu de l’art. 9 al. 2 LPD, que le sous-traitant est en mesure de garantir la sécurité des données.\n\nLorsque plusieurs opérations de traitement semblables sont envisagées, l’art. 22 al. 1, 2e phrase, LPD autorise une **analyse d’impact commune**. Une entreprise qui exploite dans vingt succursales la même vidéosurveillance, avec la même technologie, les mêmes durées de conservation et les mêmes droits d’accès, n’a pas à rédiger vingt documents: une seule analyse suffit, en y consignant les particularités de chaque site.\n\n## Ce qu’il faut entendre par risque élevé\n\nSelon l’art. 22 al. 2 LPD, l’existence d’un risque élevé dépend de la nature, de l’étendue, des circonstances et de la finalité du traitement, en particulier lors du recours à de nouvelles technologies. Le législateur a délibérément renoncé à une liste exhaustive. L’appréciation constitue donc un pronostic que le responsable du traitement doit établir et documenter lui-même.\n\nL’ordonnance fournit des critères utilisables. L’art. 1 OPDo exige que le besoin de protection des données personnelles soit évalué en fonction du type de données traitées ainsi que de la finalité, de la nature, de l’étendue et des circonstances du traitement. Le risque pour la personnalité ou les droits fondamentaux s’apprécie quant à lui d’après les causes du risque, les principales menaces, les mesures prises ou prévues pour le réduire, ainsi que la probabilité et la gravité d’une violation de la sécurité des données malgré ces mesures. Ces critères figurent dans la section consacrée à la sécurité des données, mais ils traduisent la même notion de risque que celle de l’art. 22 LPD et se prêtent donc à servir de grille d’analyse.\n\n## Les deux cas nommés par la loi\n\nL’art. 22 al. 2 LPD mentionne deux hypothèses dans lesquelles un risque élevé existe notamment:\n\n- le **traitement de données sensibles à grande échelle** (let. a). Sont sensibles, au sens de l’art. 5 let. c LPD, notamment les données sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales, les données sur la santé et la sphère intime, les données génétiques, les données biométriques identifiant une personne de manière univoque, les données sur des poursuites ou sanctions pénales et administratives ainsi que les données sur des mesures d’aide sociale;\n- la **surveillance systématique de grandes parties du domaine public** (let. b), soit en particulier la vidéosurveillance étendue de places, de gares ou de centres commerciaux.\n\nLe mot «notamment» indique qu’il s’agit d’exemples et non d’une limite. Un profilage à risque élevé au sens de l’art. 5 let. g LPD – celui qui conduit à un appariement de données permettant d’apprécier les caractéristiques essentielles de la personnalité – appellera lui aussi, en règle générale, une analyse d’impact, bien qu’il ne soit pas cité expressément à l’art. 22 al. 2 LPD.\n\n## Le contenu minimal\n\nL’art. 22 al. 3 LPD définit le contenu minimal par trois éléments:\n\n1. une **description du traitement envisagé** – finalité, catégories de données, personnes concernées, destinataires, durée de conservation, systèmes utilisés, communication éventuelle à l’étranger;\n2. une **évaluation des risques** pour la personnalité ou les droits fondamentaux de la personne concernée;\n3. les **mesures prévues** pour protéger sa personnalité et ses droits fondamentaux.\n\nLa loi n’exige rien de plus. En pratique, il vaut néanmoins la peine de documenter expressément l’examen de la proportionnalité et de la finalité au sens de l’art. 6 LPD, ainsi que les mesures techniques et organisationnelles des art. 7 et 8 LPD. L’art. 7 LPD impose de toute manière de concevoir le traitement conformément à la protection des données dès la conception; l’analyse d’impact est le document naturel dans lequel cette preuve se constitue.\n\n## Le moment: avant le traitement, non après\n\nL’analyse doit être établie «au préalable». Elle relève donc de la phase de projet, celle où la finalité, les moyens et l’architecture du traitement peuvent encore être modifiés. Une analyse rattrapée après la mise en production ne satisfait pas à l’obligation, puisque son but – identifier les risques tant qu’ils peuvent encore être évités – n’est alors plus atteignable. Cette exigence temporelle rejoint l’art. 7 al. 1 LPD, selon lequel le responsable du traitement agit «dès la conception du traitement».\n\n## Les deux dispenses réservées aux responsables privés\n\n**Obligation légale de traiter.** Selon l’art. 22 al. 4 LPD, le responsable du traitement privé est délié de son obligation d’établir une analyse d’impact s’il est tenu d’effectuer le traitement en vertu d’une obligation légale. Celui qui traite des données parce qu’une norme l’y contraint ne doit pas conduire une pesée des risques sur un traitement qu’il ne peut de toute façon pas façonner.\n\n**Certification ou code de conduite.** Selon l’art. 22 al. 5 LPD, le responsable privé peut renoncer à l’analyse lorsqu’il recourt à un système, un produit ou un service certifié conformément à l’art. 13 LPD pour l’utilisation prévue. Il en va de même lorsqu’il respecte un code de conduite au sens de l’art. 11 LPD qui, cumulativement, repose sur une analyse d’impact, prévoit des mesures de protection de la personnalité et des droits fondamentaux et a été soumis au PFPDT. Si l’une de ces trois conditions fait défaut, la dispense ne joue pas.\n\nCes exceptions ne valent pas pour les organes fédéraux. Ceux-ci restent en outre liés par l’art. 34 LPD, qui exige une base légale au sens formel pour le traitement de données sensibles et pour le profilage.\n\n## La consultation préalable du PFPDT\n\nLorsque l’analyse révèle que, **malgré** les mesures prévues, le traitement envisagé présente encore un risque élevé, le responsable du traitement consulte préalablement le Préposé fédéral à la protection des données et à la transparence (art. 23 al. 1 LPD). La consultation n’est donc pas la règle, mais l’exception réservée au risque résiduel.\n\nLe PFPDT communique ses objections dans un délai de **deux mois**; ce délai peut être prolongé d’un mois lorsqu’il s’agit d’un traitement de données complexe (art. 23 al. 2 LPD). S’il a des objections, il propose des mesures appropriées (al. 3). Sa prise de position n’est pas une autorisation et ne décharge pas le responsable de sa propre responsabilité.\n\nL’art. 23 al. 4 LPD ouvre une porte de sortie aux responsables privés: ils peuvent renoncer à consulter le PFPDT s’ils ont consulté leur conseiller à la protection des données au sens de l’art. 10 LPD. Cette dispense suppose, selon l’art. 10 al. 3 LPD, que le conseiller exerce sa fonction de manière indépendante et sans instruction, qu’il n’exerce pas de tâches incompatibles, qu’il dispose des connaissances professionnelles nécessaires et que le responsable publie ses coordonnées et les communique au PFPDT. L’art. 23 OPDo exige en plus que le responsable mette à sa disposition les ressources nécessaires, lui donne accès aux renseignements, documents et registres utiles et lui reconnaisse le droit d’informer l’organe supérieur de direction ou d’administration dans les cas importants.\n\n## Conservation et mise à jour\n\nL’art. 14 OPDo prévoit que le responsable du traitement conserve l’analyse d’impact **pendant au moins deux ans après la fin du traitement des données**. Le délai ne court donc pas dès l’établissement du document, mais dès la cessation du traitement. Qui exploite une application durant huit ans doit pouvoir produire le document pendant dix ans.\n\nL’art. 22 LPD ne contient pas d’obligation expresse de mise à jour périodique. L’art. 1 al. 5 OPDo précise toutefois que le besoin de protection, le risque et les mesures techniques et organisationnelles sont réévalués pendant toute la durée du traitement et, en cas de besoin, adaptés. Une modification substantielle de la finalité, de l’étendue, de la technologie ou du cercle des destinataires impose donc de refaire l’analyse.\n\n## Les conséquences d’une omission\n\nLa LPD ne sanctionne **pas directement** l’absence d’analyse d’impact. Les dispositions pénales des art. 60 à 62 LPD visent la violation des devoirs d’information, de renseignement et de collaboration, la violation des devoirs de diligence lors de la communication à l’étranger, lors du recours à un sous-traitant et quant aux exigences minimales en matière de sécurité des données, ainsi que la violation du secret professionnel – l’analyse d’impact n’y figure pas.\n\nLa contrainte passe par le droit de la surveillance. Le PFPDT peut ordonner, en vertu de l’art. 51 al. 3 let. d LPD, qu’une analyse d’impact soit établie conformément à l’art. 22 LPD et, selon la let. e, qu’il soit consulté conformément à l’art. 23 LPD. Celui qui ne se conforme pas intentionnellement à une telle décision, rendue en rappelant la menace de la peine, est puni d’une amende de 250 000 francs au plus (art. 63 LPD). Le PFPDT peut au surplus ordonner, selon l’art. 51 al. 1 LPD, la modification, la suspension ou la cessation du traitement ainsi que l’effacement ou la destruction des données.\n\n## Distinction d’avec le registre, le règlement de traitement et l’annonce\n\nL’analyse d’impact coexiste avec trois obligations souvent confondues avec elle:\n\n- Le **registre des activités de traitement** de l’art. 12 LPD est un inventaire permanent de tous les traitements, non l’examen du risque d’un projet déterminé. Selon l’art. 24 OPDo, les entreprises et autres organismes de droit privé employant moins de 250 collaborateurs au 1er janvier d’une année, ainsi que les personnes physiques, en sont dispensés – sauf traitement de données sensibles à grande échelle ou profilage à risque élevé. Ce seuil de taille ne vaut **pas** pour l’analyse d’impact: l’art. 22 LPD ne connaît aucun critère lié à l’effectif.\n- Le **règlement de traitement** de l’art. 5 OPDo doit être établi en cas de traitement de données sensibles à grande échelle ou de profilage à risque élevé; il décrit l’organisation interne ainsi que les procédures de traitement et de contrôle des données.\n- L’**annonce des violations de la sécurité des données** de l’art. 24 LPD intervient après coup et dans les meilleurs délais, lorsque la violation entraîne vraisemblablement un risque élevé. Elle relève de la gestion d’incident, tandis que l’analyse d’impact relève de la prévention.",
    "facts": [
        {
            "point": "Déclenchement",
            "value": "Le responsable du traitement procède au préalable à une analyse d’impact lorsque le traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22"
        },
        {
            "point": "Critères du risque",
            "value": "L’existence d’un risque élevé, en particulier lors du recours à de nouvelles technologies, dépend de la nature, de l’étendue, des circonstances et de la finalité du traitement.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22"
        },
        {
            "point": "Premier cas nommé",
            "value": "Un risque élevé existe notamment en cas de traitement de données sensibles à grande échelle.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22"
        },
        {
            "point": "Second cas nommé",
            "value": "Un risque élevé existe notamment en cas de surveillance systématique de grandes parties du domaine public.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22"
        },
        {
            "point": "Contenu minimal",
            "value": "L’analyse contient une description du traitement envisagé, une évaluation des risques pour la personnalité ou les droits fondamentaux ainsi que les mesures prévues pour les protéger.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22"
        },
        {
            "point": "Analyse commune",
            "value": "Si plusieurs opérations de traitement semblables sont envisagées, le responsable peut établir une analyse d’impact commune.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22"
        },
        {
            "point": "Dispense légale",
            "value": "Le responsable du traitement privé est délié de son obligation s’il est tenu d’effectuer le traitement en vertu d’une obligation légale.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22"
        },
        {
            "point": "Certification ou code de conduite",
            "value": "Le responsable privé peut renoncer à l’analyse s’il recourt à un système, un produit ou un service certifié selon l’art. 13 LPD, ou s’il respecte un code de conduite au sens de l’art. 11 LPD soumis au PFPDT.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22"
        },
        {
            "point": "Consultation du PFPDT",
            "value": "Si un risque élevé subsiste malgré les mesures prévues, le responsable consulte le PFPDT préalablement au traitement.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_23"
        },
        {
            "point": "Délai du PFPDT",
            "value": "Le PFPDT communique ses objections dans un délai de deux mois, prolongeable d’un mois en cas de traitement de données complexe.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_23"
        },
        {
            "point": "Renonciation à la consultation",
            "value": "Le responsable du traitement privé peut renoncer à consulter le PFPDT s’il a consulté son conseiller à la protection des données au sens de l’art. 10 LPD.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_23"
        },
        {
            "point": "Conservation",
            "value": "Le responsable du traitement conserve l’analyse d’impact pendant au moins deux ans après la fin du traitement des données.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_14"
        }
    ],
    "sources": [
        {
            "title": "LPD art. 22 – Analyse d’impact relative à la protection des données personnelles",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22",
            "authority": "A"
        },
        {
            "title": "LPD art. 23 – Consultation préalable du PFPDT",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_23",
            "authority": "A"
        },
        {
            "title": "LPD art. 5 – Définitions",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_5",
            "authority": "A"
        },
        {
            "title": "LPD art. 6 – Principes",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_6",
            "authority": "A"
        },
        {
            "title": "LPD art. 7 – Protection des données dès la conception et par défaut",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_7",
            "authority": "A"
        },
        {
            "title": "LPD art. 8 – Sécurité des données",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_8",
            "authority": "A"
        },
        {
            "title": "LPD art. 9 – Traitement des données par un sous-traitant",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_9",
            "authority": "A"
        },
        {
            "title": "LPD art. 10 – Conseiller à la protection des données",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_10",
            "authority": "A"
        },
        {
            "title": "LPD art. 11 – Codes de conduite",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_11",
            "authority": "A"
        },
        {
            "title": "LPD art. 12 – Registre des activités de traitement",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_12",
            "authority": "A"
        },
        {
            "title": "LPD art. 13 – Certification",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_13",
            "authority": "A"
        },
        {
            "title": "LPD art. 24 – Annonce des violations de la sécurité des données",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_24",
            "authority": "A"
        },
        {
            "title": "LPD art. 34 – Bases légales applicables aux organes fédéraux",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_34",
            "authority": "A"
        },
        {
            "title": "LPD art. 51 – Mesures administratives du PFPDT",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_51",
            "authority": "A"
        },
        {
            "title": "LPD art. 60 – Violation des obligations d’informer, de renseigner et de collaborer",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_60",
            "authority": "A"
        },
        {
            "title": "LPD art. 61 – Violation des devoirs de diligence",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_61",
            "authority": "A"
        },
        {
            "title": "LPD art. 63 – Insoumission à une décision",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_63",
            "authority": "A"
        },
        {
            "title": "OPDo art. 1 – Principes de la sécurité des données",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_1",
            "authority": "A"
        },
        {
            "title": "OPDo art. 5 – Règlement de traitement des personnes privées",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_5",
            "authority": "A"
        },
        {
            "title": "OPDo art. 14 – Conservation de l’analyse d’impact",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_14",
            "authority": "A"
        },
        {
            "title": "OPDo art. 23 – Conseiller à la protection des données",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_23",
            "authority": "A"
        },
        {
            "title": "OPDo art. 24 – Exception à l’obligation de tenir un registre",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_24",
            "authority": "A"
        }
    ],
    "faq": [
        {
            "question": "À partir de quand dois-je établir une analyse d’impact?",
            "answer": "Dès que le traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 22 al. 1 LPD). L’analyse doit être établie au préalable, soit avant le début du traitement. Sont notamment visés le traitement de données sensibles à grande échelle et la surveillance systématique de grandes parties du domaine public."
        },
        {
            "question": "L’obligation vaut-elle aussi pour les petites entreprises?",
            "answer": "Oui. L’art. 22 LPD ne connaît aucun critère lié à l’effectif. Le seuil de 250 collaborateurs de l’art. 24 OPDo ne concerne que l’obligation de tenir un registre des activités de traitement, pas l’analyse d’impact."
        },
        {
            "question": "Dois-je transmettre l’analyse au PFPDT?",
            "answer": "Non, pas en règle générale. La consultation de l’art. 23 al. 1 LPD n’est nécessaire que si l’analyse révèle qu’un risque élevé subsiste malgré les mesures prévues. Les responsables privés peuvent en outre y renoncer selon l’art. 23 al. 4 LPD s’ils ont consulté leur conseiller à la protection des données au sens de l’art. 10 LPD."
        },
        {
            "question": "De combien de temps le PFPDT dispose-t-il pour se prononcer?",
            "answer": "Il communique ses objections dans un délai de deux mois. Ce délai peut être prolongé d’un mois lorsqu’il s’agit d’un traitement de données complexe (art. 23 al. 2 LPD). S’il a des objections, il propose des mesures appropriées."
        },
        {
            "question": "Encourt-on une amende si l’analyse n’est pas établie?",
            "answer": "Pas directement. Les dispositions pénales des art. 60 à 62 LPD ne visent pas l’omission d’une analyse d’impact. Le PFPDT peut toutefois l’ordonner selon l’art. 51 al. 3 let. d LPD; celui qui ne se conforme pas intentionnellement à une telle décision est puni d’une amende de 250 000 francs au plus (art. 63 LPD)."
        },
        {
            "question": "Combien de temps faut-il conserver l’analyse d’impact?",
            "answer": "Au moins deux ans après la fin du traitement des données (art. 14 OPDo). Le délai se rattache à la cessation du traitement et non à la date d’établissement du document."
        },
        {
            "question": "Quelle différence avec le registre des activités de traitement?",
            "answer": "Le registre de l’art. 12 LPD est un inventaire permanent de l’ensemble des traitements, au contenu fixé par la loi. L’analyse d’impact examine en revanche un projet déterminé sous l’angle du risque et consigne les mesures de protection. Les deux obligations existent indépendamment l’une de l’autre."
        }
    ],
    "tags": [],
    "valid_from": "2023-09-01",
    "valid_to": null,
    "last_revision": "2026-09-19",
    "last_verification": "2026-09-21",
    "factcheck_status": "ok",
    "version": 1,
    "url": "https://nexvyra.ch/fr/fait/analyse-impact-protection-des-donnees",
    "translations": {
        "de": {
            "language": "de",
            "slug": "datenschutz-folgenabschaetzung",
            "title": "Datenschutz-Folgenabschätzung",
            "published": 1,
            "factcheck_status": "ok"
        },
        "fr": {
            "language": "fr",
            "slug": "analyse-impact-protection-des-donnees",
            "title": "Analyse d’impact (AIPD) selon la LPD",
            "published": 1,
            "factcheck_status": "ok"
        },
        "it": {
            "language": "it",
            "slug": "valutazione-impatto-protezione-dati",
            "title": "Valutazione d’impatto secondo la LPD",
            "published": 1,
            "factcheck_status": "ok"
        }
    }
}