Analyse d'impact · art. 22 LPD · version juridique {version}

Analyse d'impact relative à la protection des données

L'analyse d'impact est obligatoire lorsque le traitement envisagé est « susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée ». Cet outil détermine si vous êtes dans ce cas, puis vous fait rédiger le document dans la structure exacte qu'impose l'art. 22 al. 3. Tout reste dans votre navigateur.

Ceci n'est pas une FRIA. L'analyse d'impact sur les droits fondamentaux de l'art. 27 de l'AI Act ne vise que les organismes de droit public, les entités privées fournissant des services publics et les déployeurs de scoring de crédit ou de tarification vie et maladie. Une PME privée ordinaire n'y est pas soumise ; si vous en relevez, le classificateur vous le dit : vérifiez votre cas d'usage.

1. Votre traitement présente-t-il un risque élevé ?

L'art. 22 al. 2 pose quatre critères ouverts — la nature, l'étendue, les circonstances et la finalité — puis nomme deux cas où le risque « existe notamment ». Ces deux-là emportent l'analyse à eux seuls ; les autres la suggèrent.

Traitement de données sensibles à grande échellePrésomption légaleSanté, opinions religieuses ou politiques, appartenance syndicale, sphère intime, origine, données génétiques ou biométriques, poursuites pénales, aide sociale.LPD art. 22 al. 2 let. a · LPD art. 5 let. cSurveillance systématique de grandes parties du domaine publicPrésomption légaleCaméras, capteurs ou analyse d'images couvrant un espace ouvert au public, de façon continue.LPD art. 22 al. 2 let. bProfilage à risque élevéÉvaluation automatisée d'aspects personnels — rendement au travail, situation économique, santé, préférences, comportement — dont le résultat peut affecter significativement la personne.LPD art. 5 let. g · LPD art. 6 al. 7 let. bDécision individuelle automatiséeDécision prise exclusivement de façon automatisée, ayant des effets juridiques pour la personne ou l'affectant de manière significative.LPD art. 21Recours à une nouvelle technologieLe texte vise expressément ce cas : un modèle d'IA générative introduit dans un processus qui n'en comportait pas y entre.LPD art. 22 al. 2Croisement de plusieurs sources de donnéesRapprochement de fichiers qui ne se parlaient pas, produisant une image de la personne qu'aucune source ne donnait seule.LPD art. 22 al. 2Personnes en situation de dépendance ou de vulnérabilitéCollaborateurs, candidats, patients, enfants, bénéficiaires d'une prestation : la relation déséquilibrée pèse sur l'appréciation du risque.LPD art. 22 al. 2

2. Êtes-vous dispensé ?

Deux décharges existent, et elles sont rarement connues. Elles ne réduisent pas le risque : elles délient de l'obligation d'analyser.

Le traitement est imposé par une obligation légaleLe responsable privé est délié de l'analyse lorsqu'il est tenu d'effectuer le traitement en vertu de la loi.LPD art. 22 al. 4Le système, produit ou service est certifié pour l'utilisation prévueCertification par un organisme agréé et indépendant. La dispense ne vaut que pour l'utilisation couverte par la certification.LPD art. 22 al. 5 · LPD art. 13Vous respectez un code de conduite soumis au PFPDTLe code doit reposer sur une analyse d'impact, prévoir des mesures de protection, et avoir été soumis au PFPDT. Les trois conditions sont cumulatives.LPD art. 22 al. 5 · LPD art. 11

Verdict

Rien n'indique un risque élevé

Aucun facteur retenu sur la base de vos réponses. Ce n'est pas un quitus : l'appréciation reste la vôtre, et elle se refait dès que la finalité, l'étendue ou les circonstances du traitement changent.

Structure imposée par l'art. 22 al. 3 LPD. Version juridique 2026-08-27. Repères d'information, pas un avis juridique.