Indicateurs RGPD : mesurer la qualité des réponses

Un service affiche 90 % de demandes RGPD « traitées ». Ce chiffre peut inclure des accusés de réception, des réponses incomplètes ou des suppressions seulement demandées au prestataire. Avant de fixer un objectif, il faut savoir ce que le tableau compte et ce qu’il démontre.

Un pilotage utile distingue les échéances, le contenu remis, l’exécution des décisions et les obstacles rencontrés par les personnes. Il sert à corriger le service. Il ne délivre pas une note globale de conformité à partir d’une moyenne ou d’un nombre de tickets fermés.

Choisir l’unité de compte

Une personne, un courriel, un dossier et un droit exercé sont quatre unités différentes. Une personne peut envoyer trois messages pour une même demande ; un seul message peut demander une copie et une rectification. Compter les messages comme des demandes gonfle l’activité et peut masquer les relances provoquées par votre propre réponse.

Définissez un identifiant de dossier et, si nécessaire, des volets par droit. Le dossier conserve la demande initiale et les clarifications ; chaque volet suit sa décision et son exécution. Un volet terminé ne clôture pas automatiquement les autres.

La procédure des droits doit fixer ces règles avant la production du tableau. Notez aussi le périmètre : entité responsable, canaux inclus, période et éventuelles exclusions. Une adresse de contact oubliée peut faire paraître le volume faible tout en laissant des demandes sans réponse.

Les Art. 12(1) et 12(2) imposent une communication compréhensible et la facilitation de l’exercice des droits. L’Art. 12(3) encadre le délai ; les dispositions propres à chaque droit définissent ce qui doit être accompli. Le pilotage doit donc couvrir plusieurs dimensions. Source : RGPD, chapitre III.

Distinguer activité, résultat et qualité

Le volume reçu mesure la charge. Le nombre de réponses envoyées mesure une activité. Le nombre de dossiers exécutés et communiqués selon leur périmètre mesure un résultat, dont il faut encore vérifier la qualité juridique et pratique.

Adoptez un petit dictionnaire partagé :

Ces statuts sont une proposition d’organisation, pas une nomenclature réglementaire. Certains dossiers suivent un autre parcours, notamment une décision motivée de ne pas agir. Le statut doit décrire cette décision, sans la confondre avec l’exécution favorable du droit demandé.

Mesurer les délais sans faire disparaître les dossiers ouverts

Le délai moyen des seuls dossiers clos peut diminuer alors que les cas difficiles vieillissent. Présentez ensemble les dossiers arrivant à échéance, ceux déjà en retard et ceux encore ouverts avec une prolongation justifiée.

L’Art. 12(3) exige une réponse dans les meilleurs délais et, en principe, dans un mois à compter de la réception. Une prolongation de deux mois peut être nécessaire compte tenu de la complexité et du nombre de demandes ; la personne doit en être informée, avec les motifs, dans le premier mois. Une file d’attente interne ne crée pas à elle seule une suspension. Art. 12(3), RGPD.

Le tableau conserve la date initiale, l’échéance applicable et la justification de toute modification. Ne remplacez pas l’échéance passée par une nouvelle date sans historique. Une demande interne au prestataire ou un transfert entre équipes ne réinitialise pas le délai du responsable.

Enfin, un objectif interne de « réponse sous quinze jours » ne remplace aucune obligation. Une opération devant être effectuée sans tarder ne devient pas licite simplement parce qu’elle entre dans cet objectif. Inversement, un dépassement de l’objectif interne n’est pas nécessairement un dépassement du délai légal applicable.

Exemple chiffré : corriger un tableau trop favorable

Cas fictif. Atelier Orme reçoit vingt demandes le 2 septembre 2026. Seize portent sur un seul droit et quatre sur deux droits : l’équipe suit donc vingt dossiers et vingt-quatre volets. Les échanges ultérieurs restent rattachés à ces dossiers.

Au 5 octobre, le logiciel annonce dix-huit dossiers traités sur vingt, soit 90 %. La responsable examine les événements derrière ce chiffre :

L’hypothèse de validité des deux prolongations est posée pour l’exemple. Elle doit être vérifiée dans un dossier réel. Ces dossiers ne doivent apparaître ni comme terminés ni comme automatiquement en retard au 5 octobre.

Le taux de clôture retenu pour la cohorte est 16/20, soit 80 %. Sur les dix-huit dossiers dont l’échéance reste fixée au 2 octobre, seize satisfont les contrôles décrits : 16/18, soit environ 88,9 %. Ce second chiffre utilise un autre dénominateur ; afficher seulement « 88,9 % conformes » serait excessif.

Les deux réponses défectueuses restent visibles avec l’échéance initiale. L’équipe les reprend sans attendre la prochaine réunion mensuelle. Pour le lien inaccessible, elle organise une nouvelle remise de copie sécurisée, vérifie le fonctionnement du parcours et explique le complément. Pour l’outil oublié, elle complète la recherche puis la réponse ; l’absence de résultat ne peut pas être présumée.

Quatre dossiers restent donc à suivre : les deux à corriger et les deux prolongés. Les vingt-quatre volets servent au suivi détaillé, mais ne remplacent pas subrepticement les vingt dossiers dans le taux de clôture.

Ajouter des indicateurs qui conduisent à une action

Choisissez peu de mesures, avec une définition stable et un destinataire capable d’agir. Pour chacune, documentez la source du chiffre, le numérateur, le dénominateur, les cas exclus et la décision attendue.

• Sources non vérifiées à l’approche de l’échéance : attribuer un responsable à la recherche manquante, sans conclure à l’absence de données.
• Rectifications ou effacements sans confirmation : relancer le détenteur concerné et vérifier l’opération, plutôt que fermer le ticket après instruction.
• Remises inutilisables : distinguer fichier illisible, lien inaccessible et difficulté de compréhension pour corriger le bon élément.
• Réouvertures pour omission : retrouver la cause récurrente, sans compter une réparation comme une nouvelle demande favorable à la productivité.
• Vérifications d’identité excessives : examiner les dossiers concernés et retirer les obstacles non nécessaires.

Pour l’effacement, une preuve d’exécution proportionnée doit rendre l’action vérifiable sans recréer une copie intégrale des données supprimées. Un taux de « confirmations reçues » ne démontre pas leur suffisance.

Aucun pourcentage présenté ici n’est une norme RGPD. Un objectif de gestion ne rend pas acceptable une proportion prédéfinie de refus injustifiés, de divulgations à des tiers ou d’opérations non exécutées.

Relire les dossiers avec une sélection explicite

Le tableau ne remplace pas une lecture. Choisissez des dossiers permettant d’examiner la complétude, les motifs d’une décision, l’intelligibilité de la copie, les éventuelles occultations et les actions annoncées. Incluez des situations particulières, mais expliquez ce que votre sélection permet de conclure.

Dans l’exemple d’Orme, une revue ciblée porte sur six dossiers : les deux défectueux déjà repérés et quatre dossiers considérés comme clos, choisis parce qu’ils impliquent plusieurs outils. Cette sélection cherche les causes d’omission. Elle ne permet pas d’estimer la fréquence de tous les défauts dans les vingt dossiers, encore moins dans toute l’activité annuelle.

La fiche de revue peut retenir cinq questions : les sources pertinentes ont-elles été recherchées ? La décision répond-elle à chaque volet ? Les limites sont-elles expliquées ? Les actions annoncées sont-elles prouvées ? La personne peut-elle utiliser les éléments remis ? Pour chaque réponse négative, notez le fait, la correction et son contrôle.

Si la revue découvre un autre défaut, actualisez les dossiers et les chiffres concernés en conservant la version précédente du tableau. La possibilité de corriger une mesure est un signe de traçabilité ; la masquer derrière une clôture irréversible détruirait cette information.

Une relance n’est pas nécessairement abusive. Elle peut résulter d’une omission ou d’une réponse incompréhensible. L’Art. 12(5) fait peser sur le responsable la démonstration du caractère manifestement infondé ou excessif. Le guide des demandes répétées aide à éviter une qualification automatique fondée sur le nombre de messages.

Protéger aussi le fichier de pilotage

Le tableau détaillé contient souvent des informations personnelles : identifiants de dossiers, coordonnées, motifs et parfois pièces justificatives. Sa finalité de contrôle ne justifie pas de donner tous ces éléments à la direction ou à chaque manager.

Séparez le suivi opérationnel restreint d’une présentation agrégée. Même sans noms, une catégorie rare peut désigner une personne connue du service. Préférez des motifs structurés aux récits libres et ne copiez pas une pièce d’identité dans le tableau pour démontrer qu’elle a été vérifiée.

Définissez les habilitations, les durées et les besoins de conservation probatoire. Les Art. 5(1)(b)/(c)/(e) s’appliquent à ces données comme aux autres traitements ; l’Art. 24(1) impose des mesures adaptées et réexaminées, sans prescrire un modèle unique de tableau. Principes RGPD ; responsabilité du responsable.

Fermer les actions, pas seulement la réunion

Pour Orme, le compte rendu attribue la recherche oubliée au responsable de l’outil, la remise au gestionnaire du dossier et la correction du statut informatique au responsable du processus. Chaque action a une échéance adaptée et une preuve attendue. La prochaine revue examine ces résultats, pas uniquement la variation du pourcentage.

Si les défauts viennent d’une source absente du parcours standard, corrigez aussi la procédure et les demandes similaires encore ouvertes. Une baisse des relances ou des réclamations ne prouve pas seule l’amélioration : elle peut également traduire un canal difficile à utiliser.

Ce qu’il faut retenir

• Distinguez dossiers, personnes, messages et volets de droits.
• Montrez les dossiers ouverts et les échéances initiales.
• Contrôlez la réponse, la remise et l’exécution séparément.
• Expliquez les dénominateurs et les limites d’une revue ciblée.
• Attribuez une correction à chaque constat utile.

FAQ

Le délai moyen permet-il de repérer les retards ?

Il ne suffit pas. Les dossiers encore ouverts peuvent en être exclus, et quelques retards importants être masqués. Examinez les échéances individuelles et la méthode de calcul de la moyenne.

Faut-il relire toutes les réponses ?

Adaptez l’organisation aux risques et au volume, avec des contrôles renforcés sur les décisions sensibles. Une revue ciblée est utile si sa sélection et ses limites sont explicites ; elle ne certifie pas les dossiers non examinés.

Peut-on considérer un accusé de réception comme une réponse dans le délai ?

Il atteste la réception, mais ne répond pas à lui seul aux obligations sur les mesures prises. Distinguez cet événement de la réponse prévue par l’Art. 12(3) ou, en cas d’inaction, par l’Art. 12(4).

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.