Les six étapes de conformité RGPD
De la désignation d'un pilote à la documentation : une démarche structurée, livrable par livrable.
De la désignation d'un pilote à la documentation : une démarche structurée, livrable par livrable.
La mise en conformité est le deuxième temps d'une démarche de protection des données, après la cartographie du risque. La CNIL propose de la conduire en six étapes. Leur intérêt est d'imposer un ordre : on ne déploie pas de mesures avant d'avoir dressé l'état des lieux, et on ne considère pas la conformité comme acquise sans l'avoir documentée. Voici chaque étape, le livrable qu'elle produit et l'erreur qui la guette.
La conformité a besoin d'un responsable identifié. Pour certains organismes, la désignation d'un délégué à la protection des données (DPO) est obligatoire : organismes publics, structures dont l'activité principale conduit à un suivi régulier et systématique à grande échelle des personnes, ou au traitement à grande échelle de données sensibles. Pour les autres, un référent interne clairement mandaté suffit, à condition qu'il dispose de temps et d'un accès à la direction. Livrable : une lettre de mission ou une déclaration de DPO auprès de la CNIL. Piège : nommer un pilote sans lui donner de moyens, ce qui revient à ne pas en avoir.
Il s'agit de recenser l'ensemble des traitements, les données mobilisées, les finalités, les acteurs et les flux, puis de tenir à jour le registre des activités de traitement prévu à l'article 30. Cette étape est détaillée sur la page cartographier son risque numérique. Livrable : le registre des traitements. Piège : se limiter aux traitements « officiels » et passer à côté des fichiers officieux et des outils adoptés sans validation.
Pour chaque traitement, on vérifie les fondamentaux : la finalité est-elle déterminée et légitime ; la base légale est-elle correcte (article 6) ; les données collectées sont-elles limitées au nécessaire (minimisation) ; la durée de conservation est-elle définie et appliquée ; l'information des personnes est-elle claire et accessible (articles 12 à 14) ; les contrats de sous-traitance sont-ils conformes à l'article 28. Les écarts constatés sont classés par priorité, en s'appuyant sur la cotation du risque. Livrable : un plan d'action daté et hiérarchisé. Piège : traiter d'abord ce qui est facile plutôt que ce qui est risqué.
Lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, une analyse d'impact relative à la protection des données (AIPD, article 35) doit être menée : description du traitement, évaluation de la nécessité et de la proportionnalité, appréciation des risques, mesures pour les réduire. Si le risque résiduel reste élevé malgré les mesures, la CNIL doit être consultée avant la mise en œuvre. Livrable : l'AIPD et son plan de traitement du risque. Piège : considérer l'AIPD comme une formalité rédactionnelle plutôt que comme un outil de décision.
La conformité doit tenir dans la durée et pas seulement au moment de l'audit. Cela suppose des procédures écrites et connues des équipes : prise en compte de la protection des données dès la conception d'un nouveau projet (privacy by design et by default), procédure de réponse aux demandes d'exercice des droits dans le délai d'un mois, procédure de détection et de notification des violations dans les 72 heures, sensibilisation régulière du personnel, et gestion des habilitations lors des arrivées et des départs. Livrable : un jeu de procédures opérationnelles. Piège : rédiger des procédures que personne ne connaît ni n'applique.
Le principe de responsabilité impose de pouvoir prouver, à tout moment, que les obligations sont respectées. La documentation rassemble le registre des traitements, les AIPD, les mentions d'information, les contrats de sous-traitance, les procédures internes, le registre des violations, les preuves du recueil du consentement lorsqu'il est la base légale, et les traces de la sensibilisation des équipes. Livrable : un dossier de conformité tenu à jour. Piège : constituer le dossier une fois puis le laisser se périmer.
Pour une petite structure qui part de zéro, une mise en conformité sérieuse se compte en mois, pas en semaines. Un séquencement praticable : le premier mois, désigner le pilote et lancer la cartographie ; les deuxième et troisième mois, finaliser le registre des traitements et identifier les écarts prioritaires ; les mois suivants, traiter les écarts par ordre de risque — d'abord les bases légales fragiles et les durées de conservation non maîtrisées, ensuite l'information des personnes et les contrats de sous-traitance, enfin les procédures internes. La documentation se constitue au fil de l'eau, pas à la fin. L'erreur classique consiste à viser une conformité parfaite immédiate : mieux vaut un plan d'action daté, tenu, et des priorités assumées, qu'un chantier abandonné parce que trop large.
Chaque traitement doit reposer sur l'une des six bases de l'article 6 : consentement, exécution d'un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public, intérêt légitime. Le choix n'est pas libre : on ne peut pas invoquer le consentement pour un traitement indispensable à l'exécution d'un contrat, ni l'intérêt légitime pour la prospection par voie électronique qui relève du consentement. Une base légale mal choisie fragilise tout le traitement, car elle conditionne aussi les droits ouverts aux personnes — le droit à l'effacement et le droit à la portabilité, par exemple, ne s'appliquent pas de la même façon selon la base. Reprendre chaque ligne du registre pour vérifier et documenter la base légale est l'un des travaux les plus rentables de la mise en conformité.
Le principe de responsabilité se démontre par des pièces. Pour chaque traitement : la fiche de registre à jour, la mention d'information effectivement affichée ou communiquée, et le cas échéant la preuve du recueil du consentement (date, périmètre, moyen). Pour l'organisation : les contrats de sous-traitance signés, les AIPD réalisées, les procédures internes datées et diffusées, le registre des violations, les supports et les dates des actions de sensibilisation, la trace des demandes d'exercice de droits reçues et des réponses apportées. Ce dossier n'a pas besoin d'être volumineux ; il a besoin d'être à jour et de pouvoir être présenté rapidement.
Au-delà des six étapes, trois obligations reviennent en permanence. Le registre des traitements est le document de référence : il se met à jour à chaque évolution. L'information des personnes doit être délivrée au moment de la collecte, dans un langage clair, et mentionner l'identité du responsable, les finalités, la base légale, les destinataires, la durée de conservation et les droits. Le respect des droits, enfin, suppose de savoir recevoir une demande, vérifier l'identité du demandeur, y répondre sous un mois — délai prolongeable de deux mois pour les demandes complexes — et documenter la réponse.
Ces obligations ne se sous-traitent pas : un prestataire peut aider à les mettre en œuvre, mais la responsabilité de leur respect reste celle du responsable de traitement. C'est pourquoi la conformité gagne à être portée en interne, même modestement, plutôt que déléguée en bloc à un tiers dont on ne contrôlerait pas le travail.
Les six étapes ne sont pas une checklist à cocher une fois, mais un cycle : piloter, cartographier, prioriser, analyser, organiser, documenter, puis recommencer à mesure que les traitements évoluent. La conformité juridique et organisationnelle ne prend son sens qu'accompagnée de mesures techniques de sécurité effectives et d'une capacité à réagir à une violation dans les délais.