La DPIA (Data Protection Impact Assessment) est une évaluation formelle de l’impact du traitement des données personnelles sur les droits et libertés des personnes concernées, conformément à l’art. 35 RGPD. Lors du déploiement d’un système ERP/CRM, elle est obligatoire chaque fois que le traitement est susceptible d’engendrer un risque élevé — typiquement lors d’une surveillance systématique des employés, du traitement de catégories particulières de données, d’une prise de décision automatisée (scoring IA), ou de la combinaison de grands ensembles de données. Une DPIA standard comprend 8 sections et sa réalisation prend 2 à 5 jours de travail.
Cet article fait partie de la série Sécurité et conformité dans les ERP cloud. Il explique quand la DPIA est obligatoire pour un ERP/CRM, comment la structurer pour un déploiement Modulario, propose un modèle en 8 étapes et signale les erreurs fréquentes.
Qu’est-ce que la DPIA et pourquoi est-elle importante
La DPIA est un outil de gestion proactive des risques en matière de protection des données personnelles. L’objectif n’est pas la bureaucratie, mais de :
- Identifier les risques avant que le régulateur ou la personne concernée ne les identifie.
- Documenter le raisonnement — démontrer l’accountability selon l’art. 5(2) RGPD.
- Proposer des mesures d’atténuation des risques.
- Consulter l’autorité (CNIL en France, APD en Belgique) si le risque ne peut être atténué.
Sans DPIA là où elle est obligatoire, vous risquez une amende pouvant atteindre 20 millions d’EUR ou 4 % du chiffre d’affaires mondial. En France, la CNIL a sanctionné en 2024 plusieurs entreprises pour absence de DPIA lors du profilage de clients.
Quand la DPIA est-elle obligatoire pour un ERP/CRM
Trois critères selon l’art. 35 RGPD
La DPIA est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Critères :
- Évaluation systématique et à grande échelle d’aspects personnels incluant le profilage, ayant des effets juridiques ou affectant de manière similaire une personne (ex. scoring IA des candidats dans le module RH).
- Traitement de catégories particulières selon l’art. 9 (données de santé, biométrie, origine ethnique, opinions politiques) à grande échelle.
- Surveillance systématique à grande échelle d’un espace accessible au public (vidéosurveillance, capteurs IoT avec identification des personnes).
Listes du CEPD et des autorités nationales
Le CEPD et les autorités nationales (CNIL, APD) ont publié des listes de types de traitements où la DPIA est obligatoire. Pour les ERP/CRM, les plus pertinents sont :
- Systèmes RH avec évaluation automatisée (scoring de performance, évaluation prédictive)
- CRM avec profilage étendu des clients pour le ciblage marketing
- Field service tracking avec géolocalisation GPS des employés en temps réel
- Systèmes de pointage biométriques (empreinte digitale, reconnaissance faciale)
- Modules IA pour le scoring crédit, la détection de fraude, l’automatisation du support client
- Intégrations IoT avec identification des personnes (cartes à puce, pointage RFID)
- Grands ensembles de données clients combinés avec des tiers (data enrichment)
Arbre de décision pratique
| Question | Oui | Non |
|---|---|---|
| Traitez-vous des catégories particulières (santé, biométrie) à grande échelle ? | DPIA obligatoire | Continuer |
| Effectuez-vous une prise de décision automatisée à effet juridique (scoring RH, scoring crédit) ? | DPIA obligatoire | Continuer |
| Surveillez-vous les employés (GPS, enregistrement des frappes, vidéo) ? | DPIA obligatoire | Continuer |
| Traitez-vous plus de 100 000 personnes concernées (clients, employés) ? | DPIA recommandée | Continuer |
| Technologie innovante (IA, IoT, biométrie) ? | DPIA recommandée | DPIA non obligatoire |
Conseil : Même lorsque la DPIA n’est pas obligatoire, une analyse des risques est toujours souhaitable et utile lors d’un futur audit. Pour le déploiement Modulario, nous pouvons réaliser une version DPIA-light réduite.
DPIA en 8 étapes : modèle pour le déploiement Modulario
Structure standard selon l’art. 35 §7 RGPD + bonnes pratiques CEPD :
Étape 1 : Description systématique du traitement
Décrivez :
- Finalité du traitement (ex. « gestion du personnel, traitement des salaires, pointage, évaluation des performances »)
- Base légale (art. 6 RGPD + éventuellement art. 9 pour les catégories particulières)
- Catégories de personnes concernées (employés, clients, fournisseurs)
- Catégories de données (identifiantes, de contact, économiques, de localisation, biométriques)
- Destinataires (utilisateurs internes, externes — comptable, administration fiscale, banque, sous-traitants)
- Durée de conservation (par catégorie)
- Transferts transfrontaliers (UE oui/non, pays tiers)
Spécificités Modulario : données principalement dans l’UE (Francfort + Prague), aucun transfert hors UE, sous-traitants exclusivement natifs UE ou avec garanties appropriées.
Étape 2 : Évaluation de la nécessité et de la proportionnalité
Questions :
- Le traitement est-il nécessaire pour atteindre la finalité ?
- La portée des données est-elle proportionnée à la finalité (minimisation des données) ?
- Existe-t-il une alternative moins intrusive ?
- La durée de conservation est-elle la plus courte possible ?
- Les personnes concernées sont-elles informées de manière transparente ?
Exemple : Pour le pointage, il est nécessaire d’enregistrer le nom, l’identifiant de badge et l’heure d’arrivée/départ. La biométrie n’est pas nécessaire — vous pouvez utiliser une puce ou un code PIN. Si vous utilisez la biométrie, vous devez le justifier (ex. sécurité physique d’un entrepôt) et obtenir le consentement explicite.
Étape 3 : Identification des risques
Pour chaque catégorie de traitement, considérez :
- Menaces : fuite de données (interne, attaque externe), accès non autorisé, modification des données, perte de données.
- Vulnérabilités : mots de passe faibles, logiciels non mis à jour, RBAC insuffisant, chiffrement manquant, risque fournisseur.
- Impacts : préjudice financier pour les personnes concernées, atteinte à la réputation, discrimination, usurpation d’identité, sécurité physique.
Classifiez le risque comme faible / moyen / élevé selon probabilité × impact.
Étape 4 : Mesures d’atténuation des risques
Techniques :
- Chiffrement au repos (AES-256) et en transit (TLS 1.3) — par défaut dans Modulario.
- MFA pour les administrateurs et les accès sensibles — Modulario supporte TOTP/WebAuthn/SAML.
- Contrôle d’accès basé sur les rôles avec principe du moindre privilège — module Personnes Modulario.
- Journal d’audit pour la capacité forensique — natif dans Modulario.
- Politiques de rétention automatisées avec suppression après délai — configurable par attribut dans Modulario.
- Pseudonymisation / anonymisation là où c’est possible.
- Sauvegarde et récupération avec tests.
Organisationnelles :
- Formation des employés (annuelle).
- Due diligence fournisseur (DPA avec chaque sous-traitant).
- Plan de réponse aux incidents avec notification RGPD en 72 heures.
- Processus DSAR avec délai de 30 jours.
- Audit interne des contrôles minimum 1× par an.
Étape 5 : Consultation des parties prenantes (le cas échéant)
Si le risque reste élevé, le RGPD recommande :
- Consultation des personnes concernées (ex. via le comité d’entreprise, une enquête).
- Consultation du DPO (si vous en avez un).
- Consultation de l’autorité (CNIL/APD) si même après les mesures le risque n’est pas acceptable.
Étape 6 : Approbation et documentation
La DPIA doit être :
- Écrite et signée par la personne responsable.
- Datée avec un plan de révision (typiquement 1× par an ou lors d’un changement de traitement).
- Archivée dans le cadre de la documentation RGPD.
Étape 7 : Mise en œuvre des mesures
Planifiez :
- Responsable de chaque mesure.
- Délai de mise en œuvre.
- Méthode de vérification (test, audit, monitoring).
Dans le déploiement Modulario, de nombreuses mesures techniques fonctionnent déjà — il reste la configuration organisationnelle et les processus côté client.
Étape 8 : Monitoring et révision
La DPIA n’est pas un document unique. Elle est révisée :
- Lors d’un changement de traitement (nouveau module, nouveau sous-traitant, changement de finalité).
- Lors d’un changement législatif (ex. AI Act, lignes directrices CEPD).
- Lors d’un incident affectant des données personnelles.
- Régulièrement 1× par an dans le cadre de l’audit RGPD.
Exemple pratique : DPIA pour le module RH Modulario
Scénario : Une entreprise industrielle de taille moyenne (120 employés) met en œuvre le module Personnes Modulario pour la gestion RH, les salaires et le pointage par badges.
DPIA résumée :
| Section | Contenu |
|---|---|
| Finalité | Gestion du personnel, salaires, pointage, gestion des congés |
| Base légale | Art. 6(1)(b) — contrat (relation de travail) + art. 6(1)(c) — obligation légale |
| Personnes concernées | 120 employés |
| Catégories de données | Identifiantes, de contact, salariales, de localisation (badge) |
| Catégories particulières | Aucune (le badge n’est pas de la biométrie) |
| Destinataires | Service RH, comptable, URSSAF, administration fiscale, banque |
| Sous-traitants | Modulario (SK), AWS Francfort (DE), relai e-mail sécurisé (UE) |
| Durée de conservation | Bulletins de salaire 5 ans, dossier personnel selon droit du travail, pointage 1 an |
| Transferts transfrontaliers | Aucun hors UE |
| Risques | Fuite de données salariales (impact élevé, faible probabilité après mesures), accès non autorisé aux données personnelles (impact moyen, faible probabilité) |
| Mesures techniques | Défaut Modulario — chiffrement, MFA, journal d’audit, RBAC, hébergement UE, ISO 27001 |
| Mesures organisationnelles | Politique de bureau propre, formation RH, processus DSAR, politique de rétention |
| Risque résiduel | Faible |
| Conclusion | La DPIA n’a identifié aucun risque ingérable. Consultation de l’autorité non nécessaire. |
La DPIA complète pour ce scénario fait environ 8 pages et se réalise en 2 à 3 jours. Modulario fournit un modèle aux clients, où une grande partie des mesures est préremplie.
Erreurs fréquentes lors de la DPIA
- « Nous avons rempli le tableau une fois, c’est bon. » La DPIA est un document vivant. Sans révision après un an, elle est sans valeur.
- Descriptions trop générales. « Nous traitons des données personnelles à des fins commerciales » n’est pas une description. Vous devez être précis — catégories, durée, destinataires.
- Ignorer les sous-traitants. Le fournisseur (AWS, Sentry, prestataire e-mail) fait partie de l’analyse des risques. Sans DPA avec eux, vous avez une lacune.
- Absence de planification du droit d’accès. Si une demande DSAR arrive, pouvez-vous exporter en 30 jours toutes les données d’une personne ? Testez-le.
- DPIA sans validation technique. Les mesures comme « nous chiffrons les données » doivent être confirmées par l’IT, pas seulement par le juriste. Si en réalité la base de données n’est pas chiffrée, la DPIA est trompeuse.
- Ne pas publier un résumé. Pour les risques plus élevés, le CEPD recommande de publier un résumé de la DPIA pour la transparence. Cela évite les critiques et les questions des personnes concernées.
- Confondre DPIA et ROPA. Le registre des activités de traitement (art. 30) est un document différent de la DPIA (art. 35). Vous avez besoin des deux.
Modèle Modulario et support
Pour les clients Modulario, nous fournissons :
- Modèle DPIA pour les cas d’usage typiques (RH, entrepôt, facturation, CRM, field service, IoT).
- Mesures techniques préremplies correspondant à l’architecture Modulario (hébergement UE, ISO 27001, journal d’audit, chiffrement, MFA).
- Liste des sous-traitants avec références DPA à jour.
- Consultation pour les déploiements complexes (modules IA, IoT, biométrie).
Il vous suffit de vous inscrire pour une consultation gratuite.
Sujets connexes : pilier sécurité ERP cloud, checklist conformité RGPD, ISO 27001 pour les PME, NIS2 en pratique.
Questions fréquentes
Dois-je réaliser une DPIA pour un module de comptabilité ou de facturation standard ? Pour une facturation B2B standard ou la comptabilité d’une entreprise ordinaire, la DPIA n’est généralement pas obligatoire — le traitement est nécessaire pour remplir une obligation légale (art. 6(1)(c) RGPD), la portée est proportionnée et les catégories sensibles ne sont pas traitées. Nous recommandons cependant une courte analyse des risques (2 à 3 pages) dans le cadre de la documentation RGPD.
Puis-je utiliser un modèle DPIA trouvé sur Internet ou dois-je partir de zéro ? Les modèles sont un bon point de départ, mais vous devez l’adapter à votre scénario spécifique. Une DPIA générique sans les spécificités de votre entreprise, vos données et vos fournisseurs ne satisfera pas le régulateur. Le modèle Modulario est adapté aux déploiements typiques et contient des mesures techniques concrètes, ce qui accélère le travail.
Qui dans l’entreprise réalise la DPIA ? La responsabilité incombe au responsable du traitement (controller), généralement via le DPO ou le responsable conformité. Pour les PME sans DPO, c’est une combinaison : le dirigeant (description du traitement), l’IT/RSSI (mesures techniques), le juriste (base légale et risques). Un consultant externe est approprié pour les cas complexes (IA, biométrie, grands ensembles de données).
Que faire si après la DPIA je constate que le risque est élevé et que je ne peux pas le réduire ? Dans ce cas, vous devez consulter l’autorité de contrôle (CNIL en France, APD en Belgique) selon l’art. 36 RGPD. L’autorité dispose de 8 semaines pour répondre (prolongeable de 6 semaines pour les cas complexes). La consultation ne signifie pas interdiction du traitement — l’autorité peut recommander des mesures supplémentaires. Sans consultation en cas de risque résiduel élevé, c’est une violation du RGPD.