Dette RGPD : prioriser un stock de non-conformités

Un audit relève trente écarts. L’équipe ne peut pas tout corriger simultanément et la direction demande un classement. Commencer par les documents les plus faciles à refaire donne rapidement un tableau vert, tout en laissant parfois des données accessibles ou une demande de droits sans réponse.

Prioriser consiste à organiser l’exécution des obligations et la protection des personnes. Cela ne permet pas de transformer un manquement en risque légalement accepté. Il faut distinguer les actions immédiates, les corrections durables et les travaux qui dépendent d’autres décisions.

Ce qu’il faut retenir

• Sortez du classement ordinaire les délais légaux et les conditions préalables à un traitement.
• Évaluez les effets pour les personnes, au-delà du coût ou de l’amende possible pour l’entreprise.
• Une protection provisoire peut réduire l’exposition sans clôturer le problème.
• Attribuez chaque action à une personne capable de l’exécuter et prévoyez sa preuve de résultat.
• Réexaminez le plan quand les faits changent ; une priorité n’est pas un classement définitif.

Transformer les constats d’audit en faits exploitables

« Sécurité insuffisante », « registre incomplet » ou « consentement à revoir » ne permettent pas de décider quoi faire demain. Pour chaque constat, précisez le traitement, les données, les personnes, la règle concernée et les éléments vérifiés. Séparez ce qui est établi de ce qui reste à rechercher.

Par exemple, « contrat fournisseur manquant » peut signifier que personne ne retrouve un accord pourtant signé, ou qu’un prestataire actif traite effectivement sans l’encadrement requis. La recherche documentaire est utile dans le premier cas ; elle ne remplace pas la régularisation et l’examen de la poursuite du traitement dans le second.

Rattachez chaque constat à une obligation exacte. L’Art. 24(1) prévoit des mesures adaptées à la nature, à la portée, au contexte, aux finalités et aux risques. L’Art. 32(1) encadre une sécurité adaptée au risque. Ces textes n’écartent ni les conditions de licéité ni les droits des personnes. RGPD, Art. 24 et 32.

L’audit RGPD produit le constat ; le plan doit ajouter une décision, un responsable et une manière de vérifier le résultat. Si le diagnostic reste incertain, créez une action d’investigation délimitée, plutôt que d’attribuer arbitrairement une faible gravité.

Identifier ce qui ne peut pas attendre un score

Trois situations doivent être examinées avant toute notation.

Une échéance légale est en cours. Pour une demande de droits, l’Art. 12(3) prévoit une réponse dans les meilleurs délais et, en tout état de cause, dans un mois. Une prolongation de deux mois n’est possible qu’aux conditions prévues, avec information motivée dans le premier mois. La surcharge ordinaire du plan ne constitue pas une prolongation automatique. Art. 12(3)/(4).

Une atteinte se poursuit. Un accès non autorisé ou une utilisation illicite exige des mesures appropriées sans attendre la réunion mensuelle. Si les faits constituent une violation de données, le circuit d’incident s’applique. Lorsque la notification est requise, l’Art. 33(1) impose d’agir dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance ; un dépassement doit être motivé. Le risque élevé appelle aussi l’examen de l’Art. 34. Art. 33 et 34.

Un préalable manque pour un projet. Une analyse d’impact requise se réalise avant le traitement, selon l’Art. 35(1). Un score interne faible ne permet pas de la reporter après le lancement. Si l’Art. 36(1) impose une consultation préalable, celle-ci ne se remplace pas davantage par une approbation de direction. Art. 35 et 36.

Comparer les conséquences, pas seulement les tâches

Pour les actions à ordonnancer, examinez d’abord ce qui peut arriver aux personnes : divulgation de leur situation, décision injustifiée, perte de contrôle, exclusion d’un service, difficulté à exercer un droit. Décrivez le scénario de dommage, la probabilité et les éléments qui fondent l’analyse.

Le volume compte, mais il ne suffit pas. Un petit fichier très sensible peut justifier une action plus rapide qu’une erreur limitée sur un grand nombre de coordonnées professionnelles. Les personnes vulnérables, les données faciles à réutiliser et la durée d’une exposition peuvent modifier la priorité.

Examinez ensuite l’étendue : systèmes, copies, prestataires, destinataires et traitements concernés. Une correction locale peut laisser fonctionner une interface qui réintroduit l’erreur. Enfin, identifiez les dépendances et l’effort réel. Une mesure courte qui bloque une exposition peut passer avant un chantier long, sans supprimer le besoin de ce chantier.

Vous pouvez employer des niveaux « urgent », « prioritaire » et « programmé ». Définissez leur sens dans votre organisation. Ce sont des outils de pilotage, pas des catégories légales ni un délai de tolérance accordé par la CNIL.

Un portefeuille de six écarts, réellement ordonnancé

Exemple hypothétique. Au 7 septembre 2026, Atelier Lierre vend et entretient du matériel professionnel. Il dispose d’une administratrice informatique, d’une responsable clientèle et d’un DPO externe. Son audit fait apparaître les six constats ci-dessous.

L’équipe ne choisit pas E-06 en premier au seul motif qu’une modification de texte est rapide. Elle révoque le lien E-01, mobilise en parallèle la clientèle sur E-02 et fait retirer le champ E-03. L’import du projet E-04 demeure bloqué pendant son analyse. E-05 reçoit une restriction immédiate, puis un travail de fond ; E-06 s’alimente des faits établis.

Cet ordre ne reporte pas légalement les obligations d’E-05 ou E-06. Il décrit l’organisation concrète d’une remise en conformité et les limites qui restent visibles. La revue d’un projet urgent aide à choisir entre réduction de périmètre et maintien du blocage.

Renseigner une fiche de correction jusqu’au résultat

Pour E-01, une fiche utile contient plus que « supprimer le lien » :

Action E-01 — Espace SAV. Constat du 7 septembre : accès sans authentification à 42 dossiers contenant identité, coordonnées et échanges de dépannage. Responsable technique : administratrice ; responsable métier : service après-vente. Mesure immédiate : révocation du lien et conservation maîtrisée des éléments utiles à l’analyse. Correction durable : accès limité aux utilisateurs autorisés, revue des liens équivalents et des exports. Vérification : refus d’accès sans authentification, accès maintenu pour un profil autorisé, contrôle des autres liens identifiés. Analyse d’incident : dossier distinct avec connaissance des faits, effets, décisions de notification et preuves.

Dans la suite fictive, le contrôle confirme que le lien initial est fermé, mais découvre un second lien donnant accès au même dossier. La mesure immédiate n’est donc pas déclarée suffisante : le second lien est révoqué et le périmètre élargi. La vérification reprend sur les chemins identifiés. La revue durable des mécanismes de partage reste ouverte tant qu’elle n’est pas achevée.

Le nombre de dossiers accessibles n’établit pas, à lui seul, combien de personnes les ont consultés. L’analyse distingue accessibilité et accès constatés. Elle documente toute violation conformément à l’Art. 33(5), sans attendre que toutes les investigations soient terminées pour satisfaire aux obligations applicables.

Faire arbitrer les moyens sans déléguer la responsabilité au DPO

Le DPO informe, conseille et contrôle dans le cadre de l’Art. 39(1). Il peut proposer l’ordre des actions et alerter sur ses conséquences. Il ne devient pas automatiquement l’exécutant des modifications informatiques, le détenteur du budget ou la personne qui accepte tous les risques.

Présentez à la direction le résultat attendu, les moyens manquants et les conséquences d’une absence d’action. Dans l’exemple, si l’administratrice est absorbée par E-01, la direction doit organiser la prise en charge des autres obligations : renfort, réaffectation, réduction du périmètre ou suspension appropriée. « Le DPO a validé le plan » ne démontre pas leur exécution.

Conservez les avis et décisions selon la méthode de documentation d’un désaccord avec la direction. Les Art. 38(2)/(3) encadrent les ressources et l’indépendance du DPO ; ils ne transfèrent pas les obligations du responsable de traitement. Art. 38 et 39.

Fermer les actions et revoir les priorités

Prévoyez trois états distincts : mesure provisoire appliquée, correction durable réalisée, efficacité vérifiée. La clôture dépend du résultat annoncé. Une formation achevée ne prouve pas que la collecte excessive a cessé ; un contrat envoyé au fournisseur ne prouve pas qu’il lie les parties.

Pour E-02, vérifiez la réponse et sa remise. Pour E-03, contrôlez le formulaire, les intégrations et les anciennes valeurs. Pour E-05, conservez les décisions prises par catégorie de fichiers, avec les limites restantes. E-04 reste un projet non lancé tant que ses conditions ne sont pas réunies.

Réexaminez le plan à chaque fait significatif : nouveau destinataire, plainte, copie découverte, protection inefficace ou délai approchant. Le tableau de direction doit rendre visibles les urgences, les obligations à échéance et les protections provisoires qui durent. Le nombre de lignes fermées, isolément, mesure surtout l’activité administrative.

FAQ

Peut-on commencer par des actions faciles ?

Oui, si elles produisent un effet utile sans retarder les obligations plus urgentes. Elles peuvent avancer en parallèle lorsqu’elles mobilisent d’autres personnes ou réduisent immédiatement une exposition.

La direction peut-elle accepter une non-conformité ?

Une décision interne ne rend pas licite un traitement contraire au RGPD. Elle doit conduire à des mesures et à des moyens adaptés, voire à une réduction ou un arrêt du traitement concerné.

Un plan daté prouve-t-il que l’entreprise est conforme ?

Il démontre une organisation et des engagements. La conformité demande aussi des mesures effectivement appliquées, le respect des obligations actuelles et des vérifications correspondant aux résultats annoncés.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.