Article 24 RGPD : démontrer la conformité

Une politique affirme que les comptes inutilisés sont fermés. Lors d’un contrôle interne, des comptes d’anciens prestataires restent pourtant actifs. L’article 24 du RGPD demande à la fois des mesures appropriées et la capacité de démontrer leur application. Le document et la pratique doivent donc se rejoindre.

Les trois paragraphes de l’article 24

L’Art. 24 du RGPD s’adresse au responsable de traitement. Son premier paragraphe exige des mesures techniques et organisationnelles appropriées, tenant compte du traitement et des risques pour les personnes, ainsi que leur réexamen et leur actualisation si nécessaire.

Le deuxième paragraphe prévoit des politiques appropriées lorsque cela est proportionné aux activités. Le troisième reconnaît l’application de codes de conduite approuvés et de mécanismes de certification approuvés comme éléments possibles de démonstration.

L’obligation complète l’Art. 5(2), qui concerne la responsabilité et la preuve du respect des principes. Elle ne dispense pas l’autorité de contrôle de respecter les règles de preuve et de procédure : la formule « aucun document, donc automatiquement toute infraction est établie » serait excessive.

Relier chaque mesure à un traitement et à un risque

La nature, la portée, le contexte et les finalités doivent guider le choix. Un fichier de contacts professionnels, un suivi de patients et une plateforme de profilage n’appellent pas une documentation identique.

La grille constitue une recommandation pratique. Le texte ne crée pas une « proto-AIPD » portant ce nom pour chaque traitement. Lorsqu’une AIPD est obligatoire selon l’Art. 35, ses exigences propres s’appliquent.

Constituer un dossier qui explique les décisions

Le dossier peut réunir la cartographie, le registre lorsqu’il est requis, les analyses de base légale, les notices, les contrats pertinents, les AIPD applicables et les traces de mise en œuvre. Chaque pièce doit avoir un périmètre, une version et un lien avec les opérations réelles.

Une politique seule ne prouve pas que sa règle est appliquée. Inversement, la preuve ne prend pas toujours la forme d’une signature de direction sur chaque document : un paramétrage vérifiable, une trace d’action ou un compte rendu peuvent aussi être pertinents.

Pour organiser les relations entre exigences, contrôles, preuves et corrections, notre guide des logiciels GRC propose une méthode de démonstration. L’objectif reste de retrouver pourquoi une décision a été prise et ce qui a effectivement été réalisé.

Évitez de gonfler ce dossier avec des copies inutiles de données personnelles. Une preuve de suppression peut décrire un périmètre et une opération sans conserver indéfiniment les données qui devaient disparaître.

Adapter les politiques sans inventer de seuil

L’Art. 24(2) retient la proportionnalité aux activités. Il ne dispense pas automatiquement une structure de moins de cinq salariés et ne fixe pas une liste uniforme de sept politiques obligatoires pour tous.

Choisissez des règles que les équipes peuvent appliquer : qui reçoit une demande, qui ferme les accès, qui autorise un export, quand une conservation est réexaminée. Diffusez-les aux personnes concernées et expliquez les changements.

Certaines obligations documentaires résultent directement d’autres textes ou articles : l’écrit du contrat de sous-traitance, le registre ou la documentation des violations ne deviennent pas facultatifs parce que l’organisme préfère une politique courte. La proportionnalité de l’article 24 ne supprime pas leurs conditions propres.

Réexaminer lorsque le traitement ou le risque évolue

Un nouveau prestataire, une extension de finalité, un incident ou un changement technique peut rendre une mesure insuffisante. L’âge d’un document ne prouve pas à lui seul son invalidité ; il faut vérifier si son contenu reste exact et appliqué.

La revue des changements du registre permet de repérer les déclencheurs. Lorsque des données supplémentaires sont envisagées, utilisez une revue de nouvelle catégorie de données avant de modifier le formulaire ou l’import.

Le RGPD ne fixe pas une fréquence annuelle générale pour toutes les mesures de l’article 24. Déterminez une périodicité adaptée et ajoutez des revues déclenchées par les changements. Conservez la date et la conclusion réelles ; une nouvelle date sans vérification n’améliore pas la conformité.

Donner une suite aux écarts

Attribuez à chaque action un responsable, une échéance et un résultat attendu. Séparez les corrections achevées, celles en cours et les risques non résolus. La priorisation des non-conformités aide à traiter d’abord les conséquences les plus importantes pour les personnes.

L’Art. 24(3) ne confère pas une présomption générale de conformité à tout label. Vérifiez le mécanisme approuvé, son périmètre et sa validité. Une certification ou un audit peut apporter une preuve sur des points déterminés ; il ne couvre pas automatiquement les autres obligations ni une utilisation différente du service.

Lire un dossier de preuves : quatre pièces, quatre limites

Considérons un dossier fictif constitué par Atelier Saule, qui confie la gestion des interventions clients à un logiciel externe. La direction veut savoir si elle peut affirmer que les accès des prestataires sortants sont maîtrisés. Elle possède une procédure, un relevé de comptes, un message du fournisseur et un compte rendu de revue. Leur simple présence ne donne pas la réponse : il faut lire ce que chacun établit.

Pièce 1 — procédure « fin de mission », version du 2 septembre. Elle prévoit que le responsable métier signale le départ et que l’administrateur retire les accès. Elle montre une organisation décidée, avec deux rôles identifiés. Elle ne démontre ni que tous les départs ont été signalés, ni que les comptes ont été fermés. Si aucun remplacement n’est prévu pendant l’absence du responsable métier, le circuit peut rester sans exécutant alors que le document semble complet.

Pièce 2 — relevé des comptes du 15 septembre. Trois intervenants ayant terminé leur mission apparaissent encore dans la liste. Un compte présent peut être désactivé ; la seule colonne « nom » ne permet donc pas de conclure à un accès possible. La personne chargée du contrôle rapproche la date de fin de mission, le statut technique et les droits attribués. Le relevé doit couvrir les accès directs, pas seulement les membres de l’équipe principale.

Pièce 3 — réponse du fournisseur : « départs traités ». Cette formule ne précise pas les identifiants, les opérations ou la date d’exécution. Elle constitue un élément à clarifier, pas une confirmation suffisante pour les trois comptes. Saule demande un retour portant sur le périmètre défini, sans exiger une copie des dossiers clients auxquels ces comptes avaient accès. L’Art. 28(3)(h) prévoit les informations nécessaires pour démontrer les obligations du sous-traitant et permettre les audits ; le droit de demander des preuves ne justifie pas une collecte indifférenciée. Source : Art. 28(3)(h).

Pièce 4 — compte rendu de vérification. Dans cette illustration, il constate que deux comptes sont désactivés mais qu’un troisième conserve un droit direct sur un dossier. La conclusion correcte est donc partielle. « Trois départs examinés, deux accès fermés, un accès résiduel à retirer » décrit la situation ; « procédure conforme » la masque. Ces constats sont les hypothèses du cas, pas les résultats d’un contrôle réellement réalisé pour cet article.

Exemple de note de décision D-38 renseignée

La note ci-dessous peut servir de structure de travail. Elle ne prétend pas certifier l’ensemble du logiciel ou de l’entreprise.

Cette dernière ligne est essentielle : supprimer un accès ne prouve pas que la cause a disparu. L’extension proposée découle ici de la faiblesse identifiée dans le processus ; elle n’est pas une obligation de contrôler arbitrairement chaque donnée de l’entreprise. La direction peut fixer des étapes, mais doit tenir compte du risque pendant la période où les vérifications se poursuivent.

Le maintien d’un accès conduit aussi à examiner si une violation de données est survenue. L’analyse des faits et des risques prévue aux Art. 33 et 34 suit son propre calendrier. Il ne faut pas attendre que le chantier documentaire soit terminé pour la commencer, ni affirmer qu’une notification est obligatoire à partir de la seule imperfection d’une procédure. Source : RGPD, Art. 32(2), 33 et 34.

Organiser la preuve sans fabriquer une conformité de papier

Pour chaque pièce, notez ce qu’elle établit, sa date, le périmètre examiné et ses limites. Une capture d’écran d’un réglage ne démontre pas le comportement de toutes les interfaces ; une réponse datée d’avant une migration ne prouve pas les accès après celle-ci. Un échantillon aide à observer un processus, mais ses résultats ne deviennent pas automatiquement le taux d’erreur de toute la base.

La clôture comporte alors deux niveaux : l’écart concret est corrigé, puis l’efficacité du processus modifié est examinée. Conservez également les réserves non levées. La direction décide des moyens et des actions ; le DPO, lorsqu’il existe, conseille et contrôle sans devenir par sa signature le responsable de tous les traitements. Cette répartition permet de demander des preuves à ceux qui peuvent effectivement exécuter les mesures.

Enfin, l’organisation doit pouvoir retrouver son dossier. Des liens vers des outils supprimés ou des pièces détenues uniquement par un salarié sortant rendent la démonstration fragile. Un classement stable, des accès adaptés et une transmission lors des changements d’équipe ont ici plus de valeur qu’un volume croissant de documents génériques.

Ce qu’il faut retenir

• Mettez en œuvre les mesures et conservez de quoi en démontrer l’application.
• Adaptez le dossier aux traitements sans supprimer les obligations documentaires particulières.
• Réexaminez les mesures lorsque les risques ou les opérations évoluent.
• Reliez chaque écart à une correction suivie et vérifiable.

FAQ

Un dossier documentaire complet suffit-il ?

Non. Il doit correspondre aux pratiques. Une procédure sans application effective ne démontre pas que le traitement respecte le règlement.

Une petite structure est-elle dispensée de politiques ?

Il n’existe pas de seuil de cinq salariés dans l’Art. 24(2). La proportionnalité dépend des activités et des risques, et les obligations spécifiques restent applicables selon leurs propres critères.

Une certification couvre-t-elle toute la conformité ?

Non. Vérifiez le périmètre réellement certifié et les conditions de l’Art. 24(3). Elle constitue un élément possible du dossier, pas une garantie universelle.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.