RGPD et sécurité : rattacher les mesures de protection aux traitements

Un système de management de la sécurité de l'information bien conduit fournit des processus utiles au RGPD : gestion des accès, traitement des incidents, évaluation des fournisseurs et résilience. La protection des données pose cependant aussi la question de savoir pourquoi un traitement est licite, proportionné et transparent. Ces questions se rejoignent dans la même activité métier, mais elles appellent des décisions différentes.

Pour la direction, l'enjeu est de les relier sans traiter l'une comme un substitut de l'autre. Une base de données clients sécurisée peut très bien contenir des informations que l'entreprise n'aurait pas dû collecter. Un contrat client valable n'établit pas que toutes les personnes ayant accès à la base en ont besoin. Un certificat ISO 27001 ne règle aucune de ces deux questions.

Le point de départ pratique est donc le traitement, et non un catalogue de mesures. Identifiez ce que l'entreprise veut faire des données personnelles, évaluez si cette activité est autorisée, puis choisissez des mesures de protection en fonction des conséquences d'une défaillance. Conservez le raisonnement, les preuves, le responsable désigné et le prochain événement qui doit déclencher un réexamen.

Déterminer les traitements et les responsabilités concernés

Le règlement général sur la protection des données encadre le traitement des données à caractère personnel. Le traitement englobe la collecte, la conservation, la consultation, la communication, la modification et l'effacement. Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable ; elle ne se limite pas aux noms ou aux dossiers manifestement sensibles.

Les adresses e-mail professionnelles, les identifiants de salariés, les identifiants d'appareils, les historiques de localisation et les échanges avec le support peuvent tous constituer des données personnelles. La qualification d'un identifiant donné dépend du contexte et des moyens raisonnablement susceptibles d'être utilisés pour identifier une personne. Remplacer des noms par des numéros de référence produit normalement des données pseudonymisées, et non anonymes, lorsque la réidentification reste possible. Les données pseudonymisées restent soumises au RGPD.

Vérifier le champ d'application territorial avant de choisir un modèle opérationnel

L'article 3 couvre les traitements effectués dans le cadre des activités d'un établissement dans l'Union, même lorsque le traitement lui-même a lieu ailleurs. Il peut également couvrir une organisation établie hors de l'Union lorsque ses activités de traitement sont liées à l'offre de biens ou de services à des personnes se trouvant dans l'Union ou au suivi de leur comportement sur ce territoire. La seule accessibilité d'un site web ne tranche pas la question du ciblage ; examinez l'offre et l'activité de suivi réelles.

Lorsque l'article 3, paragraphe 2, s'applique, l'article 27 peut imposer la désignation d'un représentant dans l'Union. Ses exemptions sont limitées et ne dépendent pas simplement de la taille de l'entreprise. L'exemption pour traitement occasionnel suppose en outre que les conditions prévues concernant les données sensibles et le risque soient remplies. Un représentant ne remplace ni le responsable du traitement, ni un DPO, ni une direction responsable.

Le RGPD est entré en vigueur le 24 mai 2016 et s'applique depuis le 25 mai 2018. Pour les décisions actuelles, distinguez le droit en vigueur des simplifications envisagées. Un communiqué de presse évoquant une possible exemption ne justifie pas l'arrêt d'une démarche de conformité en cours.

Déterminer les rôles par activité, et non par l'étiquette de l'entreprise

Le responsable du traitement détermine les finalités et les moyens du traitement. Le sous-traitant traite des données personnelles pour le compte du responsable du traitement. Les responsables conjoints déterminent ensemble les finalités et les moyens et doivent conclure un accord au titre de l'article 26 qui reflète leurs responsabilités respectives.

Une même entreprise peut endosser plusieurs rôles. Un éditeur de logiciels peut être sous-traitant pour les données téléversées par ses clients et responsable du traitement pour sa propre paie, l'administration des comptes et certaines opérations de sécurité. La qualification retenue dans le contrat d'un fournisseur est pertinente, mais elle ne peut pas l'emporter sur ce que les parties font réellement.

Le premier livrable devrait être une courte décision de périmètre : activités concernées, entités de l'organisation, rôles de responsable du traitement ou de sous-traitant, marchés et questions en suspens. Désignez un responsable chargé de lever les incertitudes avant que le traitement correspondant ne commence ou ne s'étende.

Distinguer la finalité métier de la base légale

Les articles 5 et 6 posent le socle du traitement ordinaire des données personnelles. La sécurité est une composante de ce socle, pas un moyen de le contourner.

Les principes de l'article 5 sont généralement présentés au nombre de sept : licéité, loyauté et transparence ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; intégrité et confidentialité ; et responsabilité. Le principe de responsabilité impose au responsable du traitement de respecter le règlement et d'être en mesure de le démontrer. Il n'exige pas de produit logiciel particulier, mais il exige une explication défendable, étayée par des preuves appropriées.

Traduisez chaque principe en question métier :

Choisir une base légale pour chaque finalité

L'article 6 prévoit six bases légales. Leurs conditions comptent davantage que leurs intitulés :

• Consentement : une manifestation de volonté libre, spécifique, éclairée et univoque, avec possibilité de retrait.
• Contrat : traitement nécessaire à l'exécution d'un contrat avec la personne concernée ou à des mesures précontractuelles prises à sa demande.
• Obligation légale : traitement nécessaire au respect d'une obligation légale applicable.
• Intérêts vitaux : traitement nécessaire à la sauvegarde des intérêts vitaux d'une personne.
• Mission d'intérêt public : traitement nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, avec le fondement juridique requis.
• Intérêts légitimes : traitement nécessaire aux fins des intérêts légitimes poursuivis, sous réserve d'une mise en balance de ces intérêts avec les intérêts, droits et libertés de la personne.

N'énumérez pas plusieurs bases comme une assurance interchangeable. Établissez la base qui fonde réellement chaque finalité et communiquez-la avec exactitude. Ajouter une clause à un contrat client ne rend pas automatiquement le traitement nécessaire à ce contrat. De même, l'intérêt légitime suppose une évaluation ; ce n'est pas une autorisation générale d'utiliser les données disponibles.

Recommandation pratique : documentez une évaluation de l'intérêt légitime qui porte sur l'intérêt poursuivi, la nécessité, les effets sur les personnes, leurs attentes raisonnables et les garanties. Envisagez des alternatives moins intrusives. Proportionnez l'analyse à l'activité, tout en la rendant suffisamment précise pour qu'une personne extérieure au projet puisse la comprendre.

Le consentement n'est pas toujours la solution la plus sûre. Il doit être véritablement facultatif lorsque les circonstances exigent un choix, et son retrait doit fonctionner en pratique. Les relations de travail soulèvent des doutes particuliers quant au caractère libre de l'accord. Le retrait met fin, pour l'avenir, au traitement fondé sur ce consentement ; il n'efface pas automatiquement les données soumises à des obligations de conservation licites distinctes. Ne basculez pas rétroactivement le même traitement sur une autre base au seul motif que le consentement a été retiré. Tout traitement distinct, comme une conservation imposée par la loi, nécessite sa propre base applicable et une transparence appropriée.

Les catégories particulières de données, comme les informations de santé, nécessitent une condition de l'article 9 en plus d'une base de l'article 6. Les données relatives aux condamnations pénales et aux infractions relèvent des exigences distinctes de l'article 10. Une entreprise ne doit approuver aucune de ces catégories au seul motif que le traitement ordinaire des données clients a déjà été évalué.

Construire un registre des traitements qui oriente les décisions

Le registre des activités de traitement de l'article 30 est utile parce qu'il relie l'analyse juridique à la réalité opérationnelle. Le registre du responsable du traitement comprend les finalités, les catégories de personnes concernées et de données, les destinataires, les transferts, lorsque c'est possible les délais prévus pour l'effacement et, lorsque c'est possible, une description générale des mesures de sécurité. Les sous-traitants sont soumis à une obligation de registre différente, portant sur les traitements qu'ils effectuent pour le compte des responsables du traitement.

L'exemption applicable aux organisations de moins de 250 salariés est conditionnelle. Elle ne couvre pas les traitements qui ne sont pas occasionnels, qui sont susceptibles de comporter le risque visé ou qui portent sur les catégories sensibles prévues. Une petite entreprise qui traite de manière continue des données de salariés ou de clients ne doit pas supposer que son effectif la dispense de tenir un registre.

Prenez l'activité de traitement comme unité d'organisation. « Infrastructure cloud » est généralement trop large pour expliquer pourquoi des données sont traitées. « Gestion des demandes au support client » est plus utile, car cette activité a une finalité, des personnes identifiables, des catégories de données, des destinataires, des règles de conservation et des systèmes qui la supportent.

Un registre de travail opérationnel peut aller au-delà des champs légaux :

• Responsable métier et relecteur protection des données.
• Finalité et base légale correspondante.
• Sources de données, catégories et groupes de personnes concernés.
• Relations de responsable du traitement, de sous-traitant ou de responsables conjoints.
• Applications, exports, journaux et destinataires en aval.
• Règles de conservation et modalités d'exécution de l'effacement.
• Références vers les mentions d'information, l'exercice des droits, les fournisseurs et les transferts.
• Résultat de la présélection AIPD et mesures de protection associées.
• Date d'approbation, actions en suspens et déclencheurs de réexamen.

Ces champs supplémentaires sont une recommandation de coordination, et non une affirmation selon laquelle l'article 30 exigerait expressément chacun d'eux. Leur intérêt est de rendre le registre exploitable lors d'un lancement, d'une demande d'accès, d'un changement de fournisseur ou d'un incident.

Rapprocher le registre des systèmes réellement utilisés

Un questionnaire annuel a peu de chances de révéler chaque export vers un tableur, chaque application en version d'essai ou chaque abonnement à un outil d'IA pris au niveau d'une équipe. Comparez le registre avec les données des achats, les listes d'applications approuvées, les inventaires de systèmes et des entretiens avec les responsables de processus. Examinez les espaces de stockage partagés et les transmissions manuelles lorsqu'ils influent sensiblement sur l'activité.

Ne confondez pas inventaire des actifs et registre des traitements. L'inventaire des actifs décrit les systèmes et leurs dépendances ; le registre des traitements décrit les usages des données personnelles. Reliez-les, de sorte qu'une même application puisse servir plusieurs finalités sans que celles-ci se fondent dans une description indistincte.

Pour davantage de contexte sur ce flux de travail, consultez découverte des données et protection de la vie privée. La découverte doit produire une liste d'écarts vérifiable, et non laisser supposer que chaque champ détecté a été correctement classé ou juridiquement évalué.

Traduire l'article 32 en mesures de protection face à des conséquences réelles

L'article 32 du RGPD impose aux responsables du traitement et aux sous-traitants de mettre en œuvre des mesures techniques et organisationnelles appropriées au risque. L'évaluation tient compte de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que de la probabilité et de la gravité des risques pour les droits et libertés des personnes.

Les conséquences à considérer incluent la destruction, la perte ou l'altération, de manière accidentelle ou illicite, la divulgation non autorisée et l'accès non autorisé. La disponibilité et l'intégrité comptent donc autant que la confidentialité. Perdre l'accès à un service peut porter préjudice à des personnes même si aucune donnée n'a été volée.

Une déclaration générique selon laquelle « une sécurité conforme aux standards du secteur s'applique » ne suffit pas à expliquer pourquoi les mesures conviennent à une activité donnée. Partez de scénarios : qui pourrait être affecté, que pourrait-il se passer, quelle en est la probabilité et quelle pourrait être la gravité de l'effet. Rattachez ensuite chaque scénario important à des mesures de prévention, de détection et de rétablissement.

Les restrictions d'accès doivent découler de la finalité

Pour une activité de support, demandez-vous quels agents ont besoin de quels dossiers clients, si les pièces jointes sensibles nécessitent des restrictions distinctes et quand les accès temporaires doivent expirer. Tenez compte de l'administration à privilèges, des accès de support des fournisseurs, des exports massifs, des comptes partagés et des accès d'urgence.

Les preuves utiles comprennent les définitions de rôles, les approbations d'accès, les enregistrements d'arrivées, mobilités et départs, les dispositifs d'accès à privilèges et les revues d'accès réalisées. Une politique d'accès prouve une règle voulue. Une revue récente montrant que des droits superflus ont été retirés prouve que la règle est effectivement appliquée.

La direction devrait se demander si l'organisation sait distinguer un accès autorisé d'un usage approprié. Un salarié peut disposer d'un compte techniquement valide et utiliser pourtant les données à une fin non autorisée. La formation, l'encadrement, la conception des accès et les processus d'investigation comptent tous.

Le chiffrement exige une décision de déploiement

L'article 32 cite le chiffrement et la pseudonymisation parmi les mesures à envisager ; il n'impose pas une obligation générale de chiffrement dans toutes les situations. Lorsque le chiffrement est retenu, précisez ce qu'il protège et ce qu'il ne protège pas.

Le chiffrement en transit protège les données qui circulent entre deux points lorsque les protocoles et l'authentification des points de terminaison sont correctement configurés. Le chiffrement au repos protège les données stockées dans certains scénarios de menace. Ni l'un ni l'autre n'empêche automatiquement une application ou un administrateur autorisé de voir les données en clair.

Examinez qui contrôle les clés, comment l'accès à celles-ci est cloisonné et comment elles sont générées, renouvelées, révoquées, sauvegardées et restaurées. Un chiffrement géré par le fournisseur peut convenir à certains risques tout en en laissant d'autres sans réponse. Un chiffrement dont les clés sont accessibles au même acteur compromis peut ne pas répondre au scénario évalué.

La décision de la direction ne consiste pas à choisir elle-même un algorithme. Elle consiste à déterminer si la conception répond au risque concerné et si le responsable technique peut étayer cette conclusion. Consultez chiffrement et gestion des clés pour les distinctions au niveau des mesures.

La résilience doit être démontrée, pas supposée

L'article 32 vise la confidentialité, l'intégrité, la disponibilité et la résilience constantes, ainsi que la capacité à rétablir la disponibilité et l'accès dans des délais appropriés après un incident. Une sauvegarde qui s'exécute avec succès n'établit pas que l'entreprise peut restaurer un service utilisable.

Fixez les attentes en matière de rétablissement en fonction du traitement et des conséquences d'une interruption. Testez la restauration, les dépendances, les identifiants et le traitement des données personnelles dans les environnements restaurés. Conservez la preuve de ce qui a été restauré, du temps nécessaire, de ce qui a échoué et de ce qui a été corrigé. Les règles de conservation et d'effacement doivent aussi tenir compte du comportement des sauvegardes.

Tester l'efficacité à l'aide de preuves pertinentes

L'article 32 prévoit une procédure visant à tester, analyser et évaluer régulièrement les mesures. La méthode appropriée dépend de la mesure : revues d'accès, exercices de restauration, contrôles de configuration, évaluation des vulnérabilités, revue des fournisseurs et exercices d'incident peuvent tous y contribuer.

Un test d'intrusion peut être utile, mais il ne remplace pas universellement ces activités et ne constitue pas une exigence générale du RGPD. Consignez le périmètre testé et ses limites. Le test d'une application n'établit pas qu'un nouvel export marketing, une nouvelle connexion fournisseur ou un nouveau processus de rétablissement est correctement maîtrisé.

Pour chaque mesure significative, conservez un responsable, une description de la mise en œuvre, les preuves pertinentes, la date d'évaluation et le prochain déclencheur de réexamen. Il s'agit d'une structure de preuves pratique, et non d'un modèle imposé par l'article 32.

Réutiliser le SMSI sans confondre les conclusions de sécurité et de protection des données

L'ISO/IEC 27001 porte sur un système de management de la sécurité de l'information doté d'un périmètre défini. Son appréciation des risques, son traitement des risques, ses processus opérationnels, son audit interne et sa revue de direction peuvent soutenir la gestion des mesures de protection exigées par le RGPD.

Ce recouvrement est précieux. Les preuves de gestion des accès, les évaluations de fournisseurs, les exercices d'incident et les tests de rétablissement n'ont souvent pas besoin d'être recréés pour la protection des données. Leur pertinence doit toutefois être vérifiée au regard de l'activité de traitement et du périmètre actuel.

La certification par un organisme de certification indépendant porte sur le périmètre déclaré du SMSI. Elle ne couvre pas automatiquement chaque produit, entité, fournisseur ou activité de traitement. La déclaration d'applicabilité consigne l'applicabilité des mesures et les décisions de traitement ; ce n'est pas une déclaration attestant que chaque obligation du RGPD est remplie.

L'ISO 27001 n'est pas non plus en soi un régime légal général de notification des violations. Les obligations de notification du RGPD doivent être évaluées séparément. À l'inverse, respecter le RGPD n'établit pas qu'une organisation a mis en œuvre toutes les exigences nécessaires à la certification ISO 27001.

Le RGPD prévoit bien des mécanismes de certification aux articles 42 et 43. Une telle certification ne diminue pas la responsabilité du responsable du traitement ou du sous-traitant et n'équivaut ni à un certificat ISO 27001 ni à une déclaration universelle de conformité juridique.

La question de management est donc celle d'une réutilisation des preuves assortie de conclusions distinctes : que démontre cet élément, pour quels systèmes et quelle période, et quelles questions de protection des données restent sans réponse ?

Attribuer des responsabilités distinctes à la direction, à la sécurité et à la protection des données

Un modèle opérationnel viable exige davantage qu'une boîte de réception conformité partagée. Les responsables métier doivent décrire et justifier leurs traitements ; la sécurité doit évaluer et mettre en œuvre les mesures de protection pertinentes ; les spécialistes de la protection des données doivent conseiller sur les exigences légales, les droits, les mentions d'information et les évaluations. La direction doit fournir les ressources et trancher les décisions importantes dans le respect de la loi.

Un DPO n'est pas automatiquement obligatoire pour toutes les entreprises. L'article 37 vise les autorités et organismes publics, sous réserve de son exception relative aux juridictions, ainsi que les organisations dont les activités de base remplissent les conditions prévues de suivi à grande échelle ou de traitement de données sensibles. Le droit national peut ajouter des exigences ; vérifiez donc les juridictions concernées.

Lorsqu'il est désigné, le DPO exerce des missions indépendantes de conseil et de contrôle, doit être associé de manière appropriée et en temps utile, et fait directement rapport au niveau le plus élevé de la direction. Il ne doit pas recevoir d'instructions visant à obtenir une conclusion souhaitée, ni se voir confier des responsabilités incompatibles consistant à déterminer les finalités et les moyens des traitements.

Ne faites pas du DPO à la fois le responsable de chaque mesure, l'approbateur de chaque finalité métier et la personne qui audite ces mêmes décisions. Cela concentre des responsabilités incompatibles et peut laisser croire aux équipes opérationnelles que leur responsabilité a été transférée ailleurs.

Une trace d'approbation utile identifie le responsable à l'origine de la proposition, l'avis des spécialistes, les preuves examinées, le décideur, les conditions et les actions en suspens. Si la direction choisit une autre approche licite que celle recommandée, consignez le raisonnement. La direction ne peut pas transformer l'absence de base légale ou d'une clause contractuelle obligatoire en conformité en la qualifiant de « risque accepté ».

Le guide des responsabilités du RSSI et du DPO détaille cette frontière de responsabilité. Pour le dirigeant, la question de supervision essentielle est de savoir si les désaccords remontent jusqu'à une personne capable de modifier le traitement, de financer la mesure de protection ou d'arrêter le projet, et pas seulement d'approuver un document.

Évaluer les fournisseurs à travers leur rôle, le contrat et la mise en œuvre

La revue de sécurité des fournisseurs et la revue des fournisseurs au titre du RGPD se recoupent, mais ne sont pas identiques. Établissez d'abord si le fournisseur est sous-traitant, responsable du traitement indépendant, responsable conjoint, ou s'il occupe des rôles différents selon les services.

En vertu de l'article 28, les responsables du traitement doivent faire appel à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Les relations de sous-traitance exigent un contrat ou un autre acte juridique contraignant couvrant le contenu prescrit. Une simple clause de confidentialité ne satisfait pas à cette exigence.

Les exigences de l'article 28 comprennent :

• L'objet, la durée, la nature et la finalité du traitement.
• Le type de données personnelles et les catégories de personnes concernées.
• Les obligations et les droits du responsable du traitement.
• Le traitement sur instruction documentée, y compris les dispositions applicables aux transferts.
• La confidentialité et les mesures de sécurité de l'article 32.
• Les conditions de recours à d'autres sous-traitants.
• L'assistance pour les demandes d'exercice des droits et certaines obligations de conformité.
• La restitution ou la suppression des données au terme de la prestation, sous réserve des exigences légales applicables.
• Les modalités d'information et d'audit permettant de démontrer la conformité.

Examinez les conditions de service effectives en parallèle du contrat. Un fournisseur peut promettre la suppression tout en conservant certains journaux pour une finalité distincte dont il est responsable. Un abonnement entreprise peut restreindre l'utilisation pour l'entraînement alors qu'un compte d'essai ne le fait pas. Un sous-traitant peut recourir à plusieurs sous-traitants ultérieurs implantés en différents lieux et disposant de dispositifs de support différents.

L'autorisation de sous-traitance ultérieure peut être spécifique ou générale au titre de l'article 28. En cas d'autorisation écrite générale, le sous-traitant doit informer le responsable du traitement de tout ajout ou remplacement envisagé, lui donnant ainsi la possibilité de s'y opposer. La question opérationnelle est de savoir qui reçoit ces notifications et les évalue avant qu'elles ne disparaissent dans une boîte de réception que personne ne surveille.

Séparez l'examen du contrat de l'évaluation des transferts. Un contrat au titre de l'article 28 ne fournit pas, à lui seul, un mécanisme de transfert au sens du chapitre V. Signer un contrat de sous-traitance n'établit pas non plus la base légale de l'activité du responsable du traitement.

Traiter les conditions non négociables comme une décision métier

Les petits clients disposent parfois d'un pouvoir de négociation limité. L'évaluation précoce en devient plus importante, et non facultative. Documentez la lacune, demandez quelles alternatives existent et envisagez de modifier la configuration, de réduire les données, de choisir un autre service ou de renoncer.

Lorsqu'une exigence obligatoire reste insatisfaite, une approbation de la direction ne peut pas y remédier. Lorsque la question porte sur un choix entre plusieurs options licites présentant des risques résiduels différents, la direction peut trancher sur la base d'un avis documenté. Les achats doivent distinguer ces situations plutôt que de ranger chaque réserve dans une même catégorie d'exceptions.

Une revue de fournisseur doit se conclure par une décision, des conditions, des références de preuves et des déclencheurs de nouvel examen, et pas seulement par un questionnaire rempli.

Concevoir l'exercice des droits avant la première demande difficile

Les articles 15 à 22 prévoient des droits, notamment d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition, ainsi qu'une protection à l'égard de certaines décisions fondées exclusivement sur un traitement automatisé. Ces droits ont des conditions et des exceptions différentes ; un processus unique « tout supprimer » ne peut pas les servir tous.

En vertu de l'article 12, les organisations doivent répondre dans les meilleurs délais et normalement dans un délai d'un mois à compter de la réception de la demande. Une prolongation de deux mois au plus est possible si nécessaire, compte tenu de la complexité et du nombre de demandes, mais la personne doit en être informée dans le premier mois, avec les motifs du report. Les demandes sont en principe gratuites ; les frais ou le refus sont limités aux conditions du règlement, par exemple en cas de demandes manifestement infondées ou excessives, ce qu'il incombe au responsable du traitement de démontrer.

Mettez en place un circuit opérationnel qui fonctionne à travers les canaux du support, des RH, des ventes et de la protection des données :

1. Enregistrer la réception, les droits invoqués et l'échéance.
2. Confirmer le responsable du traitement concerné et le périmètre.
3. Vérifier l'identité de manière proportionnée en cas de doutes raisonnables.
4. Localiser les données et identifier les systèmes, destinataires et sous-traitants concernés.
5. Évaluer les conditions, exceptions et droits d'autrui applicables.
6. Préparer la réponse ou l'action et la faire relire.
7. Transmettre de manière sécurisée et conserver une trace appropriée de la clôture.

N'exigez pas systématiquement des pièces d'identité lorsqu'une vérification moins intrusive suffirait. À l'inverse, ne communiquez pas de dossiers sensibles au seul motif qu'une personne connaît une adresse e-mail. La vérification constitue elle-même un traitement de données personnelles et appelle une approche proportionnée.

Une réponse à une demande d'accès nécessite normalement plus qu'une liste de catégories. L'article 15 prévoit une copie des données personnelles faisant l'objet d'un traitement ainsi que des informations complémentaires. Examinez les informations relatives à des tiers et leurs droits avant toute communication ; ne considérez pas la présence du nom d'une autre personne comme une justification pour tout retenir.

L'effacement n'est pas absolu. Des obligations légales de conservation et d'autres exceptions de l'article 17 peuvent s'appliquer. Lorsque la suppression est requise, déterminez comment elle se propage aux services connectés et aux destinataires concernés, et comment la restauration de sauvegardes évite de réintroduire négligemment des données effacées. Expliquez avec exactitude toute limitation licite.

L'automatisation peut suivre les échéances et organiser les recherches, mais quelqu'un doit décider si les résultats sont complets, si les occultations sont justifiées et si une exception s'applique. Une réponse type générée rapidement n'a aucune utilité si elle omet un système contenant les données demandées.

Consultez demandes d'accès des personnes concernées pour un processus plus détaillé. La direction devrait tester périodiquement une demande représentative, de la réception à la transmission sécurisée, plutôt que de se reposer uniquement sur la publication d'une procédure.

Utiliser l'AIPD pour remettre en question la conception avant de l'approuver

Une analyse d'impact relative à la protection des données (AIPD) au titre de l'article 35 est requise avant tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Le règlement cite des cas particuliers, notamment certaines évaluations automatisées significatives, le traitement à grande échelle de données sensibles et la surveillance systématique à grande échelle d'une zone accessible au public. Les listes pertinentes des autorités de contrôle doivent également être prises en compte.

Examinez les activités envisagées dès le début. Recommandation pratique : conservez le raisonnement lorsque la présélection conclut qu'une AIPD n'est pas nécessaire, en particulier dans les cas limites. Une courte trace de présélection permet de revenir sur la décision lorsque l'échelle, la technologie ou la finalité évolue.

L'AIPD complète doit traiter quatre éléments liés :

• Une description systématique des opérations de traitement envisagées et de leurs finalités, y compris, le cas échéant, l'intérêt légitime poursuivi.
• La nécessité et la proportionnalité au regard de ces finalités.
• Les risques pour les droits et libertés des personnes.
• Les mesures envisagées pour faire face aux risques et démontrer la conformité.

Ne commencez pas et ne terminez pas par une liste de menaces de sécurité. Demandez-vous d'abord si les données, la fréquence, les destinataires et le processus de décision envisagés sont nécessaires. Une conception moins intrusive peut supprimer un risque plus efficacement qu'une mesure technique supplémentaire.

Par exemple, un projet de mesure de la productivité des salariés pourrait proposer de collecter des captures d'écran en continu. Le chiffrement et la restriction des accès pourraient réduire le risque de divulgation, tout en laissant de sérieuses questions sur la proportionnalité, la surveillance, les attentes des salariés et l'adéquation de mesures moins intrusives. La finalité métier doit être examinée avant que la conception de la sécurité puisse avoir un sens.

Évaluer le risque pour les personnes, et pas seulement l'exposition de l'entreprise

Considérez la perte financière, la discrimination, l'usurpation d'identité, la perte de confidentialité, l'exclusion de services et les autres effets pertinents. Un scénario peut avoir un impact financier limité pour l'entreprise et un impact considérable pour une personne.

Documentez les mesures d'atténuation proposées, les responsables de leur mise en œuvre et l'évaluation résiduelle. Sollicitez l'avis du DPO lorsqu'un DPO est désigné. Vérifiez si des changements dans les opérations ou le risque imposent de mettre l'analyse à jour.

L'article 36 impose une consultation préalable de l'autorité de contrôle lorsque l'AIPD indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour l'atténuer. Si l'organisation ne peut pas suffisamment traiter ce risque élevé, elle ne peut pas substituer un statut interne « accepté » à la consultation requise. La direction peut revoir la conception, reporter ou abandonner l'activité ; elle ne peut pas disposer des droits d'autrui comme s'il s'agissait uniquement d'un risque commercial.

Relier la réponse aux incidents aux décisions de notification RGPD

Une violation de données à caractère personnel désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à ces données. La notion dépasse le vol d'une base de données par un attaquant. Une pièce jointe envoyée au mauvais destinataire, un appareil non protégé perdu ou un incident affectant la disponibilité ou l'intégrité de données personnelles peuvent nécessiter une évaluation.

En vertu des articles 33 et 34, les responsables du traitement évaluent deux seuils de notification distincts :

Le délai de 72 heures court à partir de la prise de connaissance, et non simplement de l'horodatage initial de l'incident ou du jour ouvré suivant. Si la notification intervient plus tard, elle doit être accompagnée des motifs du retard. Les informations peuvent être communiquées de manière échelonnée lorsqu'il n'est pas possible de tout fournir en même temps sans nouveau retard indu.

Préparez la chaîne d'escalade à l'avance : responsable de l'incident, conseiller en protection des données, décideur côté responsable du traitement, enquêteurs techniques, communication et contacts fournisseurs. Repérez le canal de notification de l'autorité compétente avant toute urgence. Un sous-traitant ne doit pas attendre sa propre conclusion définitive sur le risque pour informer le responsable du traitement.

Le dossier d'incident doit consigner ce qui s'est passé, les données et personnes concernées, les conséquences probables, le confinement et la remédiation, ainsi que les décisions de notification. L'article 33, paragraphe 5, impose de documenter les violations de données personnelles, y compris les faits, leurs effets et les mesures prises pour y remédier. Conservez le raisonnement ayant conduit à ne pas notifier afin que la décision puisse être comprise ultérieurement.

Le chiffrement peut influer sur l'analyse du risque et sur celle de l'article 34, mais uniquement lorsque sa protection est pertinente et effective. « Le service utilise le chiffrement » ne suffit pas si un attaquant a accédé aux données en clair via un compte compromis. L'article 34 prévoit aussi d'autres exceptions, comme des mesures ultérieures garantissant que le risque élevé n'est plus susceptible de se matérialiser ; évaluez les conditions réelles plutôt que d'appliquer une exemption générique.

Entraînez-vous sur un scénario impliquant un fournisseur et sur un autre impliquant une divulgation interne. L'exercice doit tester la collecte de preuves et le pouvoir de décision autant que le confinement technique.

Traiter les transferts internationaux comme une évaluation distincte

Les exigences du chapitre V en matière de transferts s'ajoutent au reste du RGPD. Un mécanisme de transfert ne fournit pas de base légale au titre de l'article 6, et une base légale ne dispense pas d'un dispositif de transfert approprié.

Cartographiez les destinataires et les chemins d'accès réels. L'hébergement dans un centre de données situé dans l'UE est pertinent, mais n'établit pas à lui seul qu'aucun transfert vers un pays tiers n'a lieu ni que toutes les obligations de protection des données sont remplies. Tenez compte des accès de support, des sous-traitants ultérieurs, des accès d'administration, des communications ultérieures et des parties impliquées.

Le cadre du RGPD relatif aux transferts comprend les décisions d'adéquation de l'article 45, les garanties appropriées de l'article 46 et les dérogations limitées de l'article 49. Vérifiez le mécanisme pertinent et sa portée au moment de la décision.

Lorsque vous vous appuyez sur un dispositif d'adéquation limité aux organisations participantes, vérifiez le destinataire exact et l'activité couverte. Une société du groupe ou une entité portant un nom commercial similaire n'est pas nécessairement le destinataire couvert. Conservez le résultat et la date de cette vérification.

Lorsque des clauses contractuelles types sont utilisées, choisissez les clauses correspondant aux rôles réels des parties et complétez les annexes concernées. Évaluez la législation et les pratiques du pays de destination et déterminez si des mesures supplémentaires sont nécessaires pour rendre la protection effective. Un contrat signé ne répond pas à lui seul à toutes les questions liées au risque de transfert.

Un dossier de transfert pratique doit identifier l'exportateur et l'importateur, les données et les finalités, les lieux et les accès, les transferts ultérieurs, le mécanisme retenu, l'évaluation pertinente, les mesures techniques ou organisationnelles et les déclencheurs de réexamen. La documentation du fournisseur peut étayer ce travail, mais demander si un fournisseur « dispose d'une évaluation » n'équivaut pas à évaluer ses conclusions pertinentes.

La direction doit savoir quels services dépendent d'un mécanisme donné et quels changements imposeraient une réévaluation. Cela permet un plan de continuité réfléchi sans laisser entendre que chaque fournisseur a besoin d'une solution contractuelle de repli identique.

Évaluer l'usage de l'IA comme un traitement, et pas seulement comme un nouvel outil

Une application d'IA peut introduire de nouveaux destinataires, déduire des informations personnelles supplémentaires, conserver des requêtes ou permettre une nouvelle finalité. Ces changements comptent même si l'application réutilise l'authentification unique et les contrôles d'accès existants de l'organisation.

Avant d'approuver l'utilisation de données personnelles dans un service d'IA, établissez :

• La tâche précise et la nécessité ou non de données personnelles.
• Les catégories de données d'entrée, de résultats et de personnes concernées.
• Le rôle du fournisseur pour chaque usage, y compris toute finalité d'entraînement ou d'amélioration.
• La conservation, l'accès humain, les sous-traitants ultérieurs et les dispositifs de transfert.
• Les engagements contractuels et les paramètres de configuration pertinents.
• Les risques liés à l'exactitude, à la divulgation, à l'exercice des droits et à la prise de décision.

Ne supposez pas que tout fournisseur de modèles est exclusivement sous-traitant. Son rôle dépend des traitements qu'il effectue et des finalités qu'il détermine. De même, un contrat au titre de l'article 28 ne rend pas automatiquement licite la transmission envisagée. Évaluez la finalité, la base légale, la transparence, la nécessité et toutes les autres exigences applicables.

Si l'entreprise est elle-même sous-traitant, l'introduction d'un fournisseur d'IA peut créer une relation de sous-traitance ultérieure. Vérifiez les instructions du client et le processus d'autorisation convenu avant d'envoyer des données clients. Un nouvel avenant n'est pas systématiquement requis, mais le respect des dispositions contractuelles et légales existantes l'est.

L'article 22 vise certaines décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant la personne de manière significative de façon similaire. Une intervention humaine de pure forme ne règle pas la question si la personne qui examine ne peut pas réellement apprécier ou modifier le résultat. Le recrutement, l'éligibilité et les décisions financières appellent une vigilance particulière.

Le règlement sur l'intelligence artificielle (AI Act) et le RGPD imposent des obligations distinctes. Une évaluation au titre de l'AI Act ne tient pas lieu d'AIPD, et la conformité au RGPD n'établit pas la conformité à l'AI Act. Utilisez la présentation actuelle de l'AI Act par la Commission européenne pour les dates d'application plutôt que de reporter un ancien calendrier de lancement dans un projet actuel.

Pour les travaux internes de protection des données, l'IA peut rédiger des descriptions à partir de sources approuvées, comparer des documents ou suggérer des questions. Traitez ses résultats comme des brouillons. Une base légale plausible, un destinataire oublié ou une durée de conservation erronée peuvent rendre un document soigné substantiellement faux.

Automatiser la coordination tout en préservant une revue responsable

Les organisations en croissance accumulent des tâches récurrentes : mises à jour du registre des traitements, échéances des demandes d'exercice des droits, documents fournisseurs, actions issues des évaluations, expiration des preuves et décisions de réexamen. L'automatisation peut organiser les entrées et les échéances. Elle ne doit pas masquer la différence entre collecter des informations et parvenir à une conclusion défendable.

Commencez par un processus stable et des responsabilités claires. Automatiser une transmission ambiguë peut simplement propager l'ambiguïté plus vite. Définissez ce qui ouvre une tâche, qui la reçoit, quelles preuves sont nécessaires, qui relit le résultat et ce qui clôt le travail.

Pour la rédaction assistée par IA, conservez les sources approuvées et signalez les incertitudes. Ne laissez pas un résumé généré remplacer silencieusement un contrat fournisseur ou une évaluation. Les relecteurs doivent pouvoir distinguer les faits fournis, les suggestions déduites et les questions en suspens.

Appliquez le principe du moindre privilège aux accès à l'outil de travail lui-même. Les dossiers de demandes d'exercice des droits, les dossiers d'incident et les évaluations concernant des salariés peuvent contenir des informations sensibles. Un accès large à un espace de travail conformité peut saper les restrictions mêmes qui y sont documentées. Réduisez au minimum les données personnelles dans les preuves et restreignez les éléments qui nécessitent réellement une identification.

Les indicateurs de pilotage utiles comprennent les actions en retard, les responsables manquants, les dossiers en attente de revue après un changement important et les mesures dont les preuves sont périmées ou insuffisantes. Le simple nombre de documents est moins parlant. Mesurez si les décisions et les actions correctives sont menées à terme, et pas seulement si davantage de texte a été produit.

Exemple détaillé : une intégration marketing qui réutilise des mesures de sécurité

L'exemple suivant est illustratif. Supposons qu'un éditeur de logiciels B2B en croissance dispose d'une base de données clients établie, d'un SMSI couvrant son service de production et d'un projet de plateforme de campagnes. Le marketing veut envoyer des messages d'onboarding, puis promouvoir d'autres produits. La plateforme recevrait des coordonnées, des événements d'utilisation du produit et des notes de support en texte libre. Aucun résultat client réel ni aucune fonctionnalité de Secani n'est sous-entendu.

1. Séparer les finalités envisagées

La demande initiale indique « améliorer l'engagement client ». Le responsable métier la reformule en finalités précises : onboarding nécessaire au service, communications promotionnelles facultatives et analyse de la performance des campagnes.

Le relecteur protection des données évalue la base légale de chaque finalité au lieu d'appliquer le contrat client aux trois. Les communications promotionnelles peuvent aussi relever des règles nationales applicables en matière de prospection électronique. L'entreprise ne suppose pas qu'une analyse de l'intérêt légitime au titre du RGPD suffise à elle seule à régler ces exigences distinctes.

Le premier livrable est une décision sur les finalités et les bases légales, avec des responsables désignés pour les questions en suspens. Le marketing ne peut pas lancer l'usage élargi au seul motif que l'intégration a passé un contrôle de sécurité technique.

2. Réduire le flux de données envisagé

Les notes de support sont pratiques pour la personnalisation, mais inutiles pour le message d'onboarding approuvé. Elles peuvent aussi contenir des informations dont les clients ne s'attendaient pas à ce qu'elles soient réutilisées à des fins marketing. La conception les supprime.

Le responsable technique limite les événements produit à ceux nécessaires au flux approuvé et exclut les historiques détaillés des utilisateurs lorsque des données agrégées ou des événements plus simples suffisent. Cela réduit l'exposition avant même d'ajouter une autre mesure.

Le registre des traitements décrit désormais les champs réels, les utilisateurs concernés, le destinataire, les finalités et l'approche de conservation. La mention d'information est revue au regard de l'activité approuvée plutôt que de la demande initiale très large.

3. Vérifier les dispositifs relatifs au fournisseur et aux transferts

Les achats établissent le rôle de la plateforme pour l'envoi des campagnes et vérifient l'existence de finalités propres au fournisseur. L'équipe examine le contrat au titre de l'article 28, les dispositifs de sous-traitance ultérieure, les conditions de suppression, les accès de support et le mécanisme de transfert applicable.

Une option d'hébergement dans l'UE est consignée comme un fait pertinent, et non considérée comme la fin de l'analyse des transferts. S'il manque des informations requises, la tâche reste ouverte et la condition de lancement précise ce qui doit être résolu.

4. Réutiliser les preuves de sécurité avec discernement

L'intégration peut réutiliser les contrôles d'identité de l'entreprise et un processus existant de gestion des accès. Les preuves de ces contrôles sont référencées plutôt que recréées. La nouvelle plateforme de campagnes possède toutefois ses propres droits, exports et paramètres de conservation.

Le responsable sécurité évalue la compromission de comptes, l'export massif non autorisé, un mappage incorrect des événements et la perte des préférences d'exclusion. L'équipe limite les accès, approuve les autorisations d'intégration nécessaires, teste le mappage avec des données de test appropriées et vérifie comment les enregistrements sont supprimés ou exclus.

L'exercice de rétablissement existant du service de production ne prouve pas que les préférences de campagne puissent être restaurées correctement. Le responsable vérifie séparément le comportement de rétablissement propre à ce flux.

5. Finaliser l'évaluation et l'approbation

Le relecteur protection des données procède à la présélection AIPD à partir de l'activité réelle et consigne son raisonnement. L'équipe vérifie aussi comment les demandes d'accès, d'opposition et d'effacement parviennent à la plateforme. En particulier, une opposition à la prospection ne doit pas être annulée par la prochaine synchronisation de la base de données.

La direction examine un dossier de décision concis : finalités approuvées, données supprimées, conclusions sur le fournisseur et les transferts, mesures de protection, conditions en suspens, exercice des droits et responsables désignés. Toute exigence obligatoire non résolue bloque le traitement concerné au lieu d'être transformée en exception commerciale acceptée.

6. Préserver le prochain déclencheur

L'approbation est liée à la configuration évaluée. L'ajout d'un scoring comportemental, le téléversement de notes de support, la modification des conditions d'entraînement du fournisseur ou l'introduction d'un nouveau destinataire déclenchent un réexamen. L'équipe peut réutiliser les preuves de sécurité inchangées tout en réévaluant les nouvelles questions de protection des données.

C'est la distinction centrale : des mesures de protection communes peuvent rester valables alors que la finalité, le destinataire ou l'effet sur les personnes change de manière significative.

Mettre l'approche en pratique avec un premier périmètre ciblé

Choisissez une activité de traitement dont le responsable métier est clairement identifié et dont les dépendances restent maîtrisables. Le support client, l'intégration des nouveaux salariés ou un flux produit représentatif peuvent révéler des lacunes sans exiger au préalable une refonte à l'échelle de toute l'organisation.

Recommandation pratique : commencez par quatre livrables :

• Une description du traitement et une évaluation des rôles validées.
• Une liste des décisions de protection des données, notamment base légale, information, conservation, droits et présélection AIPD.
• Une évaluation des mesures de protection fondée sur des scénarios et reliée aux preuves de sécurité existantes.
• Une trace d'approbation avec les responsables, les actions ouvertes et les déclencheurs de changement.

Dans Secani, les équipes peuvent démarrer avec un périmètre ciblé, modéliser les applications, systèmes, services et fournisseurs concernés, et relier les preuves aux exigences, aux mesures et aux décisions. Les preuves manquantes et les questions de revue non résolues peuvent devenir des tâches assignées. Les suggestions assistées par IA restent des brouillons, avec une traçabilité des sources et une approbation humaine explicite. Les relecteurs sécurité et protection des données disposent ainsi d'un contexte de preuves partagé tout en gardant leurs conclusions distinctes visibles ; cela ne remplace ni le registre des traitements, ni le traitement des demandes d'exercice des droits, ni l'analyse juridique.

N'élargissez qu'après avoir éprouvé le premier flux. Testez-le avec un changement de fournisseur, une demande d'exercice des droits et un scénario d'incident pertinent. Lorsque l'équipe ne parvient pas à identifier le responsable, à retrouver les preuves ou à expliquer la décision, corrigez le processus opérationnel avant d'ajouter d'autres activités.

Pour la revue de direction, posez trois questions : le registre correspond-il aux traitements actuels, les mesures de protection répondent-elles aux conséquences pour les personnes, et un changement important rouvrira-t-il de manière fiable la décision ? Ces questions constituent une étape suivante concrète pour relier l'assurance de sécurité à la responsabilité au titre du RGPD.

Questions que la direction devrait trancher explicitement

Un dirigeant peut-il approuver une exception au RGPD ?

La direction peut choisir entre des options licites et allouer des ressources pour traiter le risque. Elle ne peut pas renoncer à des exigences légales, autoriser un traitement dépourvu de base applicable ni remplacer une consultation préalable obligatoire par une approbation interne.

Chaque modification d'un traitement exige-t-elle une nouvelle AIPD ?

Non. Évaluez la modification au regard du seuil de risque élevé et réexaminez les analyses existantes lorsque les opérations ou le risque changent. Une décision de présélection documentée est plus utile que de produire automatiquement une AIPD complète ou de supposer que l'ancien résultat s'applique toujours.

Que faut-il examiner en priorité lorsque les ressources sont limitées ?

Donnez la priorité aux traitements susceptibles d'avoir des conséquences graves pour les personnes, aux questions de licéité ou contractuelles non résolues et aux échéances opérationnelles comme les demandes d'exercice des droits et la réponse aux violations. Servez-vous des lacunes de preuves pour orienter l'investigation, mais ne supposez pas que l'activité présentant le plus de documents manquants est nécessairement celle qui présente le plus grand risque.

Quelle autorité fait respecter le RGPD, et que peuvent coûter les manquements ?

Identifiez l'autorité de contrôle compétente pour le traitement. Pour les traitements transfrontaliers éligibles, le mécanisme de l'autorité chef de file dépend généralement de l'établissement principal ou unique du responsable du traitement ou du sous-traitant dans l'Union, avec la participation des autres autorités concernées. Un représentant au titre de l'article 27 ne crée ni établissement dans l'Union ni accès à ce mécanisme.

L'article 83 prévoit deux plafonds principaux d'amendes administratives : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, et jusqu'à 20 millions d'euros ou 4 %, le montant le plus élevé étant retenu dans chaque cas. Le plafond applicable dépend du manquement ; il s'agit de maxima, et non de sanctions automatiques. Les autorités tiennent compte des circonstances et peuvent aussi ordonner des mesures correctrices ou limiter le traitement. L'article 82 prévoit par ailleurs une réparation lorsqu'une violation cause un dommage matériel ou moral.