Registre RGPD : détecter les fiches devenues fausses

Le registre paraît complet : chaque fiche a un nom, une finalité et un responsable métier. Pourtant, le fournisseur a changé, un export a été ajouté et la durée annoncée n’est plus appliquée. Pour détecter ces écarts, une revue doit partir des événements réels de l’organisation et les rapprocher des fiches concernées.

Ce qu’il faut retenir

• Une fiche complète peut décrire une organisation qui n’existe plus.
• Les changements d’achat, d’architecture et d’accès constituent des points d’entrée utiles.
• Distinguez erreur documentaire, traitement nouveau et non-conformité opérationnelle.
• Une confirmation du métier doit porter sur des faits vérifiables, pas seulement une date de revue.

Choisir les événements à rapprocher du registre

L’article 30(1) décrit les informations à tenir pour le registre du responsable : notamment finalités, catégories de personnes et de données, destinataires, transferts et, dans la mesure du possible, délais d’effacement et description générale des mesures de sécurité. L’article 30(2) prévoit un contenu différent pour le registre du sous-traitant. RGPD, chapitre IV.

Prenez un exemple de registre rempli, puis recherchez ce qui a changé depuis sa dernière vérification. Les contrats récemment signés, les outils installés, les fermetures de service et les nouvelles interfaces sont souvent plus révélateurs qu’un questionnaire général envoyé à toute l’entreprise.

Conduire une revue par preuves

Demandez un élément ciblé lorsque nécessaire : écran de configuration sans données inutiles, schéma d’interface ou référence contractuelle. La collecte de preuves de conformité doit elle-même rester proportionnée.

Le rachat d’un prestataire peut être un événement de revue, mais n’implique pas automatiquement que toutes les rubriques changent. Vérifiez les effets réels.

Qualifier l’écart avant de modifier la fiche

Exemple hypothétique : une fiche indique une conservation de deux ans, mais le métier retrouve des dossiers beaucoup plus anciens dans un outil actif. Remplacer « deux ans » par « dix ans » ne règle pas l’écart. Il faut vérifier la durée justifiée, la règle appliquée et la correction nécessaire.

Utilisez trois statuts : documentation à corriger, analyse à compléter ou action opérationnelle à réaliser. Un traitement oublié peut nécessiter une analyse plus large des finalités, bases légales, informations et risques ; l’ajout d’une ligne au registre ne prouve pas sa conformité.

Les articles 5(2) et 24(1) fondent la capacité à démontrer le respect du règlement et l’adaptation des mesures. Le registre contribue à cette démarche ; il ne remplace pas la vérification des pratiques. RGPD.

Préparer une réunion qui aboutit à des décisions

Le responsable de la revue rassemble une version datée du registre et une liste de changements sur la période examinée. Il demande aux achats les nouveaux contrats, à l’informatique les mises en service et arrêts, aux métiers les nouveaux usages. Ces éléments servent à cibler les fiches ; ils ne remplacent pas les informations de l’Art. 30(1).

La CNIL demande une mise à jour au gré des évolutions fonctionnelles et techniques. Un questionnaire annuel peut compléter ce suivi. Il ne doit pas conduire à attendre la fin de l’année pour examiner un outil déjà mis en service ou une nouvelle collecte.

Pour une PME qui change peu d’outils, une revue trimestrielle des événements et une vérification plus large annuelle peuvent constituer une organisation pratique. Ces fréquences sont des choix à adapter, pas des délais légaux. Une entreprise lançant des traitements chaque semaine aura besoin d’un contrôle intégré aux projets. L’achat, le formulaire ou la nouvelle finalité doivent arriver dans le circuit de conformité avant leur utilisation lorsque l’analyse préalable l’exige.

Adressez une demande précise : « Depuis la version du 1er juin, avez-vous changé les champs du formulaire de réservation, les destinataires des confirmations ou le lieu de stockage des pièces ? Joignez la référence du changement. » Une réponse circonstanciée est plus exploitable que « confirmez que vous êtes conforme au RGPD ».

Compte rendu rempli : quatre changements, trois types d’écart

Exemple hypothétique. La PME française Ateliers Rivage organise des ateliers créatifs pour adultes. Son registre décrit les inscriptions, la relation fournisseurs et le traitement des demandes reçues sur son site. Inès, chargée de la conformité, examine quatre événements avec les responsables concernés. Les références et résultats suivants sont inventés pour montrer la méthode.

Le premier événement est documentaire. Le deuxième révèle une collecte excessive. Le troisième nécessite une analyse du nouvel usage. Le quatrième concerne une fermeture incomplète. Leur attribuer uniformément le statut « registre mis à jour » masquerait trois problèmes concrets.

Corriger la description sans justifier une mauvaise pratique

Pour INS-01, Inès conserve l’identité juridique du fournisseur et joint le courrier justifiant le nouveau nom. Elle ne déduit pas de l’absence de changement juridique que tout autre paramètre serait inchangé : elle vérifie également le service et les opérations concernés. Cette vérification permet de clôturer cette seule action.

Pour le formulaire, elle applique l’Art. 5(1)(c) : seules les données nécessaires aux finalités doivent être collectées. Le métier retire les deux champs facultatifs ajoutés « au cas où » ; leur caractère facultatif n’aurait pas, à lui seul, justifié leur présence. Inès ne complète donc pas simplement la rubrique « catégories de données » en ajoutant toutes les informations recueillies. Principe de minimisation.

La note d’écart conserve la réalité historique de cette collecte et la correction apportée. Dans cet exemple, le responsable identifie les inscriptions concernées, supprime les deux valeurs devenues inutiles des fichiers actifs et vérifie les exports issus du même formulaire. Le compte rendu sépare la suppression exécutée des règles applicables aux éventuelles sauvegardes. Il n’affirme pas que toute trace historique a physiquement disparu si cette vérification n’a pas été faite.

Ne pas transformer le registre en autorisation de traitement

L’export vers l’agence appelle une autre décision. L’activité poursuivie, ses destinataires et le rôle de chaque organisme doivent être compris avant de choisir les rubriques à modifier. L’existence d’un contrat de prestation ne prouve ni une base légale ni une qualification automatique de sous-traitant.

Inès ouvre une analyse séparée et maintient l’export interrompu dans l’attente. Elle consigne dans le registre et son historique ce qui a réellement eu lieu, sans présenter le projet suspendu comme un traitement validé. Si le changement implique une nouvelle finalité, il faut notamment examiner sa licéité, l’information à fournir et, selon le cas, la compatibilité prévue à l’Art. 6(4). Une mise à jour de texte ne remplace pas ces décisions. Règles relatives aux finalités et à la licéité.

Le dirigeant décide finalement d’abandonner cette analyse nominative. L’agence confirme la suppression des copies de listes reçues, en précisant les espaces et exports concernés. Inès ferme l’action après rapprochement de cette réponse avec le périmètre envoyé ; les informations nécessaires à la traçabilité de la décision restent dans le dossier de revue, avec accès et durée définis.

Fermer une fiche seulement à hauteur des vérifications faites

Pour l’ancienne application, la fermeture du compte est confirmée mais l’export partagé reste à traiter. Le registre indique l’arrêt du service et le devenir prévu des données ; l’action ne reçoit pas la mention « effacement achevé ».

Le responsable métier examine si une obligation ou un besoin justifié impose de conserver une partie de cet export. Il distingue alors l’archivage restreint de la base active. Dans le cas présent, cette analyse n’est pas encore terminée : la copie est retirée du partage général, confiée à un accès limité et assortie d’une échéance de décision. Le dossier n’est pas clos uniquement pour améliorer l’indicateur de revue.

Mesurer la couverture réelle de la revue

Au terme de cette revue et des actions décrites, Inès peut annoncer trois événements traités et un suivi encore ouvert. Elle ne peut pas annoncer que tous les traitements de l’entreprise ont été audités : le périmètre portait sur quatre changements et les fiches associées. Le compte rendu précise aussi les services interrogés, les absents et les informations non obtenues.

Un relevé utile distingue les fiches effectivement vérifiées, celles corrigées, les analyses juridiques à mener et les actions techniques non achevées. Conservez pour chaque ligne un propriétaire capable d’agir. La personne qui tient le registre ne peut pas, seule, désactiver un connecteur ou arbitrer un besoin d’archivage métier.

Si un service ne répond pas, marquez « non vérifié » avec la dernière information fiable et faites remonter les questions importantes à la direction. Une relance n’est pas une validation ; une case cochée par défaut ne constitue pas la preuve attendue. La date de revue doit renvoyer à un travail identifiable, dont les limites restent lisibles lors de la prochaine mise à jour.

Garder un historique et des propriétaires

Pour chaque revue, notez l’événement, les fiches examinées, les preuves, les changements et les actions ouvertes. Conservez la version précédente selon un besoin et une durée définis, afin de comprendre les décisions passées sans accumuler des copies indifférenciées.

Dans un groupe, évitez qu’une mise à jour centrale écrase une particularité locale. Le registre par filiales doit permettre de rattacher l’écart au bon responsable de traitement.

Fixez une fréquence de revue proportionnée à l’activité et des déclencheurs immédiats pour les changements importants. Le RGPD ne prévoit pas un calendrier annuel universel de révision de chaque fiche. Une attestation annuelle sans examen des événements peut laisser un écart subsister longtemps.

FAQ

Faut-il demander une validation de toutes les fiches chaque mois ?

Pas nécessairement. Combinez une revue périodique adaptée et une mise à jour déclenchée par les changements. La fréquence doit permettre de garder une description fiable des traitements.

Un changement de nom de fournisseur exige-t-il une nouvelle fiche ?

Pas automatiquement. Déterminez s’il s’agit d’un simple changement de dénomination ou d’une modification des acteurs et opérations. Actualisez ensuite les rubriques pertinentes.

Peut-on considérer une absence de réponse du métier comme une validation ?

Ce serait une preuve fragile de l’exactitude de la fiche. Prévoyez une relance et une escalade pour les traitements importants, et marquez les informations qui restent non vérifiées.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.