La CNIL, par sa Délibération n° 2019-118, a établi une liste des traitements dispensés d’analyse d’impact relative à la protection des données. Parmi ces dispenses, on trouve les traitements effectués par les avocats dans le cadre de leur activité professionnelle individuelle. Selon l’article 35.1 du RGPD, une analyse d’impact est requise lorsque le traitement présente un risque élevé pour les droits des personnes concernées. Toutefois, même si un traitement est exempté de cette obligation, le responsable doit respecter toutes les autres exigences du RGPD, notamment en matière de sécurité des données.