Registre RGPD : détecter les fiches devenues fausses
Repérer les écarts entre le registre RGPD et les traitements réels grâce aux changements d’outils, de fournisseurs et d’accès.
Le registre paraît complet : chaque fiche a un nom, une finalité et un responsable métier. Pourtant, le fournisseur a changé, un export a été ajouté et la durée annoncée n’est plus appliquée. Pour détecter ces écarts, une revue doit partir des événements réels de l’organisation et les rapprocher des fiches concernées.
Ce qu’il faut retenir
- Une fiche complète peut décrire une organisation qui n’existe plus.
- Les changements d’achat, d’architecture et d’accès constituent des points d’entrée utiles.
- Distinguez erreur documentaire, traitement nouveau et non-conformité opérationnelle.
- Une confirmation du métier doit porter sur des faits vérifiables, pas seulement une date de revue.
Choisir les événements à rapprocher du registre
L’article 30(1) décrit les informations à tenir pour le registre du responsable : notamment finalités, catégories de personnes et de données, destinataires, transferts et, dans la mesure du possible, délais d’effacement et description générale des mesures de sécurité. L’article 30(2) prévoit un contenu différent pour le registre du sous-traitant. RGPD, chapitre IV.
Prenez un exemple de registre rempli, puis recherchez ce qui a changé depuis sa dernière vérification. Les contrats récemment signés, les outils installés, les fermetures de service et les nouvelles interfaces sont souvent plus révélateurs qu’un questionnaire général envoyé à toute l’entreprise.
Conduire une revue par preuves
| Événement | Rubrique à rapprocher | Question au propriétaire |
|---|---|---|
| Nouveau fournisseur | Destinataires, transferts, sécurité | Quelles données reçoit-il et dans quel cadre ? |
| Nouveau formulaire | Catégories et finalité | Quels champs sont réellement collectés ? |
| Export ajouté | Destinataires et usages | Qui utilise le fichier et combien de temps ? |
| Réorganisation | Contacts et responsabilités | Qui décide et qui agit désormais ? |
| Paramètre de conservation modifié | Délai et exécution | La suppression annoncée fonctionne-t-elle ? |
| Arrêt d’un outil | Statut et données résiduelles | Quelles copies restent accessibles ? |
Demandez un élément ciblé lorsque nécessaire : écran de configuration sans données inutiles, schéma d’interface ou référence contractuelle. La collecte de preuves de conformité doit elle-même rester proportionnée.
Le rachat d’un prestataire peut être un événement de revue, mais n’implique pas automatiquement que toutes les rubriques changent. Vérifiez les effets réels.
Qualifier l’écart avant de modifier la fiche
Exemple hypothétique : une fiche indique une conservation de deux ans, mais le métier retrouve des dossiers beaucoup plus anciens dans un outil actif. Remplacer « deux ans » par « dix ans » ne règle pas l’écart. Il faut vérifier la durée justifiée, la règle appliquée et la correction nécessaire.
Utilisez trois statuts : documentation à corriger, analyse à compléter ou action opérationnelle à réaliser. Un traitement oublié peut nécessiter une analyse plus large des finalités, bases légales, informations et risques ; l’ajout d’une ligne au registre ne prouve pas sa conformité.
Les articles 5(2) et 24(1) fondent la capacité à démontrer le respect du règlement et l’adaptation des mesures. Le registre contribue à cette démarche ; il ne remplace pas la vérification des pratiques. RGPD.
Garder un historique et des propriétaires
Pour chaque revue, notez l’événement, les fiches examinées, les preuves, les changements et les actions ouvertes. Conservez la version précédente selon un besoin et une durée définis, afin de comprendre les décisions passées sans accumuler des copies indifférenciées.
Dans un groupe, évitez qu’une mise à jour centrale écrase une particularité locale. Le registre par filiales doit permettre de rattacher l’écart au bon responsable de traitement.
Fixez une fréquence de revue proportionnée à l’activité et des déclencheurs immédiats pour les changements importants. Le RGPD ne prévoit pas un calendrier annuel universel de révision de chaque fiche. Une attestation annuelle sans examen des événements peut laisser un écart subsister longtemps.
FAQ
Faut-il demander une validation de toutes les fiches chaque mois ?
Pas nécessairement. Combinez une revue périodique adaptée et une mise à jour déclenchée par les changements. La fréquence doit permettre de garder une description fiable des traitements.
Un changement de nom de fournisseur exige-t-il une nouvelle fiche ?
Pas automatiquement. Déterminez s’il s’agit d’un simple changement de dénomination ou d’une modification des acteurs et opérations. Actualisez ensuite les rubriques pertinentes.
Peut-on considérer une absence de réponse du métier comme une validation ?
Ce serait une preuve fragile de l’exactitude de la fiche. Prévoyez une relance et une escalade pour les traitements importants, et marquez les informations qui restent non vérifiées.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.