Registre RGPD : rapprocher outils et traitements

Rapprochez les applications et le registre au moyen d’une table de correspondance, sans créer automatiquement une fiche par logiciel. Un outil peut servir plusieurs finalités ; une activité peut utiliser un logiciel, des courriels, un tableur et des documents papier. Le rapprochement doit montrer ces relations et faire apparaître les usages ou les copies qui échappent à la documentation.

Le résultat attendu n’est pas seulement une liste mieux présentée. Pour chaque écart, il faut une décision : compléter une fiche, distinguer une activité, rechercher un responsable, corriger une pratique ou documenter une exclusion justifiée. Voici une méthode et un exemple rempli pour conduire ce travail entre le métier, la DSI et le DPO.

Partir de deux inventaires qui répondent à des questions différentes

L’inventaire informatique décrit les moyens : application, version ou espace utilisé, utilisateurs, administrateur, fournisseur, interfaces et emplacement des données. Le registre décrit les activités et les informations requises par l’Art. 30(1), ou par l’Art. 30(2) lorsque l’organisme agit comme sous-traitant. Les rubriques ne sont pas identiques. RGPD, Art. 30.

Pour le registre du responsable, partez du but poursuivi : gérer des commandes, répondre aux demandes d’assistance, sécuriser les accès. « Utilisation du logiciel X » décrit un moyen, sans expliquer pourquoi les données sont traitées. La CNIL recommande d’identifier les traitements par finalité et non par logiciel.

Un contrat SaaS constitue une source utile, mais il ne décrit pas tous les usages effectifs. Les exports réalisés par le métier, les copies conservées dans les boîtes de courrier et les intégrations ajoutées après l’achat peuvent manquer. Inversement, une fonction proposée par l’éditeur n’est pas nécessairement activée dans votre environnement.

Délimitez aussi l’organisme concerné. Une licence achetée par une société pour plusieurs filiales ne permet pas d’attribuer tous les traitements à cette seule société. Un registre organisé par entité aide à conserver les responsabilités et les accès distincts lorsque les moyens sont partagés.

Préparer une séance avec des pièces utilisables

Choisissez d’abord un processus assez délimité pour pouvoir suivre ses données de bout en bout. Demandez au métier un exemple expurgé des informations inutiles : formulaire, dossier de commande, demande d’assistance ou export. L’objectif est de comprendre les champs et les étapes, pas de rassembler une copie générale des dossiers clients dans le projet de conformité.

La DSI apporte l’inventaire des espaces et des échanges techniques. Les achats identifient les contrats et les entités fournisseurs. Le métier explique qui produit les fichiers, pour quel résultat et avec quels destinataires. Le DPO conseille sur les conséquences et les questions juridiques ; il ne peut pas attester seul qu’un export a été supprimé dans un espace qu’il n’administre pas.

Attribuez des références stables aux supports et aux activités. Si le nom commercial d’un logiciel change, sa relation avec le traitement ne doit pas disparaître. Une ligne de correspondance contient au minimum : activité, support, opération, données concernées, responsable de vérification et décision. La date et la pièce examinée rendent le constat retrouvable.

Exemple rempli : le service après-vente d’un distributeur

Exemple entièrement hypothétique. Atelier Levant distribue du matériel de cuisson professionnel. La responsable du service après-vente, la DSI et le référent RGPD rapprochent le registre de l’inventaire au 27 septembre 2026. L’entreprise est seule responsable des activités étudiées ; aucun outil partagé avec une filiale n’entre dans ce périmètre.

Le registre contient trois activités : R-01, gestion des commandes ; R-02, assistance et garanties ; R-03, sécurité des accès. Les achats comptent cinq outils : gestion commerciale, messagerie, espace partagé, journalisation et ancien logiciel commercial. Le métier ajoute les fiches papier reçues avec certains équipements retournés.

L’outil commercial sert à la fois aux commandes et au suivi de l’assistance. Chaque semaine, le service exporte aussi les tickets vers l’espace partagé pour préparer sa réunion. Cet export contient les noms, les coordonnées et les commentaires libres, alors que la réunion utilise uniquement les références internes, les délais et les catégories de problème.

Table de correspondance après examen

La table contient six supports, dont un papier, mais toujours trois activités dans ce cas. Elle ne fournit aucun ratio universel entre outils et traitements. Une utilisation future des tickets pour évaluer individuellement les salariés appellerait une analyse propre ; le simple ajout d’une liaison vers R-02 ne suffirait pas à la justifier.

Décider si l’export appartient au même traitement

Dans l’exemple, la réunion sert à traiter les tickets en retard et à répartir les interventions. Elle poursuit le but d’assistance déjà décrit. Le référent complète R-02 pour inclure cet usage et ses supports. Il ne crée pas une finalité « tableur hebdomadaire » qui masquerait la relation avec le service après-vente.

Cela ne valide pas tous les champs de l’export. Les Art. 5(1)(b) et 5(1)(c) exigent des finalités déterminées et des données limitées au nécessaire. L’entreprise retire donc du fichier de réunion les noms, les coordonnées et les commentaires libres. Elle conserve les références de ticket nécessaires au suivi ; ces références restent des données personnelles lorsque l’entreprise peut les rattacher aux personnes. RGPD, Art. 5(1)(b) et (c).

La fiche de décision est renseignée ainsi : usage : répartition des dossiers en attente ; responsable : cheffe du SAV ; accès : équipe chargée de ces dossiers ; fichier de réunion : références, ancienneté et catégorie ; données détaillées : consultables dans l’outil uniquement lorsque nécessaires ; responsable technique : administrateur de l’espace partagé. Les règles de conservation du support sont définies avec celles de cette activité, sans déduire un délai légal du rythme hebdomadaire.

Si le directeur souhaite ensuite transmettre les tickets nominatifs à un partenaire pour ses propres analyses commerciales, le résultat change. Il faut examiner cette nouvelle finalité, le destinataire, la base légale et l’information des personnes. L’Art. 6(4) encadre notamment l’analyse de compatibilité dans les situations qu’il vise ; il ne transforme pas toute réutilisation en simple mise à jour administrative.

Donner un responsable et une issue à chaque écart

Le rapprochement initial ne suffit pas à clôturer l’action A-03. Dans le scénario, l’administrateur modifie l’export et réserve l’espace aux personnes chargées du suivi. La responsable du SAV compare le nouveau fichier aux colonnes décidées. Elle fait aussi supprimer les anciens exports redondants identifiés dans cet espace, après vérification des besoins encore applicables. Le compte rendu distingue ce périmètre contrôlé des éventuelles copies restant à rechercher ailleurs.

Pour A-05, les achats avaient marqué le contrat « résilié ». La DSI constate pourtant que les dossiers restent consultables. L’application ne disparaît donc pas de l’inventaire. La direction commerciale reçoit l’action de qualifier les pièces restantes ; la DSI limite les accès et prépare leur sort selon la décision retenue. L’écart reste ouvert : une échéance de projet ou la fin de la facturation ne prouve pas l’effacement.

Un support sans propriétaire appelle une recherche dans les achats, les comptes d’administration et les usages du service. N’attribuez pas arbitrairement la responsabilité au dernier salarié ayant ouvert un fichier. Si personne ne peut confirmer un usage, limitez les accès lorsque cela est approprié et organisez la décision avant de supprimer des données potentiellement nécessaires.

Pour un outil déclaré sans données personnelles, décrivez le périmètre examiné et la raison de cette conclusion. Un contenu sans noms peut encore contenir des identifiants ou permettre un rattachement. De plus, les comptes utilisateurs et les journaux de l’application peuvent relever d’autres activités que son contenu métier.

Relier les flux externes et les responsabilités juridiques

Lorsqu’une table indique qu’un outil de tickets transmet des pièces à un service d’hébergement, cette information ne suffit pas à qualifier chaque acteur. La cartographie de la chaîne de sous-traitance complète ce travail avec les entités, les prestations, les accès et les pays concernés.

Vérifiez les interfaces dans les deux sens. Une synchronisation peut réintroduire une valeur rectifiée depuis une source plus ancienne ou copier une pièce dans un espace que le métier ne consulte jamais. Indiquez la source, la destination, les catégories envoyées et le responsable du flux. Un nom de connecteur sans description des données ne permet pas d’évaluer cette conséquence.

Le rapprochement ne remplace ni l’analyse de la base légale, ni les contrats, ni l’examen d’une éventuelle analyse d’impact. Il les alimente. Dans le dossier Levant, les liens vers R-01 et R-02 donnent accès aux règles de chaque activité ; ils n’effacent pas les décisions encore ouvertes sur A-05.

Maintenir la correspondance après la réunion

Faites intégrer la mise à jour au changement qui la rend nécessaire : nouvelle application, nouvelle interface, modification d’un export, changement d’entité ou fermeture. La revue du registre par événements décrit comment documenter ces décisions sans attendre une campagne annuelle.

Le dossier final conserve la table datée, les pièces examinées, les actions réalisées et les points ouverts. À la reprise suivante, vérifiez les différences avec cet état : un fichier devenu inutile, un destinataire ajouté ou une interface réactivée. Un tableau marqué « complet » sans périmètre ni date ne permettra pas ce contrôle.

Ce qu’il faut retenir

• Reliez chaque usage réel à une activité, sans confondre finalité et logiciel.
• Recherchez les courriels, exports, interfaces et supports papier associés.
• Séparez la correction documentaire des changements techniques nécessaires.
• Gardez visibles les données résiduelles et les actions qui restent ouvertes.

FAQ

Faut-il créer une fiche pour chaque boîte de courrier ?

Pas automatiquement. Une boîte peut servir plusieurs activités déjà décrites. Identifiez les usages, les pièces conservées et les accès pour la rattacher aux bonnes fiches.

Une application arrêtée peut-elle être retirée de l’inventaire ?

Oui après examen de ce qui subsiste et traitement des obligations correspondantes. Désactiver une licence ne démontre pas que les exports, sauvegardes ou archives ont disparu.

Un outil de découverte automatique suffit-il ?

Il peut repérer des emplacements et des données. Le métier doit encore expliquer leurs usages et les décisions prises ; une détection technique ne détermine pas seule la finalité ou la licéité du traitement.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.