La boîte aux lettres n'est pas un système de preuve
Dans de nombreuses organisations chargées de la protection des données, les preuves se trouvent précisément là où le travail quotidien s'effectue : dans les e-mails, les discussions sur Teams, les disques durs, les systèmes de tickets, les dossiers de projet ou les documents d'achat. Les décisions sont coordonnées par e-mail, les validations sont confirmées sur Teams, mesures techniques et organisationnelles enregistrées dans des fichiers, les contrôles des prestataires effectués lors des achats sont documentés et les avis du délégué à la protection des données sont conservés dans les dossiers de projet.
Dans le cadre de l'exploitation courante, cela peut fonctionner dans un premier temps. Les personnes concernées savent où se trouvent les différentes informations, et tant que ces mêmes personnes sont disponibles, il est encore possible de retracer bon nombre de choses. La situation se complique toutefois lorsqu'un Audit, un audit client, un rapport de direction ou une demande de la Autorité de surveillance est prévu. Il ne suffit alors plus qu'un document existe quelque part.
Ce qui est déterminant, c’est de savoir si chaque justificatif peut être attribué à la bonne opération. Il faut qu’on puisse toujours identifier à quelle Traitement, à quel risque, à quel prestataire de services, à quelle demande d'une personne concernée, à quel cas d'utilisation de l'IA ou à quelle autorisation se rapporte la preuve. En l'absence de ce lien, il n'est pas possible d'établir une preuve solide Documentation, mais un ensemble d'informations isolées dont il faudra rétablir le lien lors de l'examen.
Les justificatifs relatifs à la protection des données doivent être associés au dossier
Une preuve de conformité à la protection des données est toutefois bien plus qu'un simple fichier archivé. Elle démontre qu'un contrôle, une décision, une autorisation ou une mesure a eu lieu dans un contexte opérationnel concret. Pour cela, le nom du fichier ou son emplacement ne suffisent pas. Il faut notamment : concernés L'opération, le rôle responsable, la date, la version de référence, la base de décision et le statut actuel.
Si cette connexion n'est établie qu'au Audit Cela entraîne une charge de travail supplémentaire qui pourrait être évitée. Il faut alors passer au crible les e-mails, comparer les versions des fichiers, interroger les anciens participants au projet et rassembler les informations provenant de différents systèmes. Cela peut fonctionner dans certains cas particuliers. Mais cela ne remplace pas un système de traçabilité fiable.
Les e-mails, Teams et les espaces de stockage sont des lieux de stockage, mais ne constituent pas une structure de gouvernance
La messagerie électronique, Teams, SharePoint et les structures de disques classiques sont utiles pour la communication et le stockage de fichiers. Cependant, ils ne constituent pas automatiquement le cadre juridique en matière de protection des données d'une Traitement . Une boîte aux lettres électronique ne permet pas de savoir si une évaluation était définitive, si une recommandation a effectivement donné lieu à une mesure, quelle était la base juridique applicable au moment de la décision ou si une autorisation était assortie de conditions.
Même un système de classement bien structuré ne résout ce problème que partiellement. Un dossier peut contenir des documents. Mais il ne garantit pas que les responsabilités, les versions, les validations, les relances et l'état d'avancement des mesures restent traçables à long terme. La gouvernance de la protection des données ne commence donc pas par la question de savoir où un document est stocké, mais par celle de savoir à quel dossier il est rattaché.
L'obligation de rendre compte prévue par le RGPD exige des preuves solides
Art. 5, al. 2 RGPD oblige Responsable, pouvoir prouver le respect des principes de protection des données. Art. 24 RGPD exige en outre des mesures appropriées mesures techniques et organisationnelles, permettant de garantir et de prouver que la Traitement en accord avec la RGPD sont mises en œuvre. Ces mesures doivent être réexaminées et, si nécessaire, mises à jour.
Dans ce contexte, il ne suffit pas de pouvoir expliquer, au cas par cas, qu’une Traitement qu'un contrôle ait été effectué ou qu'une mesure ait été décidée. Les entreprises doivent être en mesure de retracer de manière claire le déroulement des opérations, l'évaluation sur laquelle elles se fondent, les rôles impliqués et la mise en œuvre ultérieure. Les souvenirs de certaines personnes peuvent y contribuer, mais ne constituent pas un substitut fiable aux preuves documentées.
La documentation et la preuve ne sont pas la même chose
De nombreuses organisations de défense de la protection des données disposent de vastes Documentation. Cela ne signifie toutefois pas automatiquement que ces Documentation est également vérifiable lors d'un audit. Une directive décrit une règle. Une preuve atteste que cette règle a été validée, communiquée, appliquée et vérifiée. Une description TOM définit des mesures. Une preuve indique pour lesquelles Traitement ou à quel système ces mesures s'appliquaient, quand elles ont été examinées et qui en était responsable.
De même, l'avis du délégué à la protection des données n'est valable sur le plan opérationnel que s'il se rapporte au projet concret, à la Traitement, qui est associé au risque ou à l'autorisation. Une entrée RoPA revêt une fonction justificative accrue lorsqu'elle permet d'identifier qui a Traitement a enregistré, vérifié, modifié et validé. C'est précisément là que réside la différence entre un simple système d'archivage de documents et une plateforme de gouvernance.
Le RoPA comme point de départ pour les déclarations de conformité en matière de protection des données
Le site Registre des activités de traitement est encore souvent considéré, dans la pratique, comme un registre obligatoire. Art. 30 RGPD exige toutefois non seulement une liste formelle, mais aussi des informations structurées aux fins de la Traitement, les catégories de personnes concernées, les catégories de données à caractère personnel, les destinataires, les transferts vers des pays tiers, les délais de suppression ainsi que les mesures techniques et organisationnelles. Le registre doit être tenu par écrit ou sous forme électronique et être mis à la disposition de la Autorité de surveillance peuvent être fournis sur demande.
Le RoPA contient ainsi bon nombre des informations qui seront également nécessaires pour des contrôles ultérieurs. Il est donc logique de ne pas classer de manière isolée les justificatifs relatifs aux autorisations, aux audits des prestataires de services, aux décisions de l’évaluation d’impact relative à la protection des données (DSFA), aux mesures techniques et organisationnelles (TOM), aux stratégies de suppression, aux demandes des personnes concernées ou aux évaluations du délégué à la protection des données (DSB), mais de les classer avec le Traitement . Ainsi, le RoPA ne sert pas seulement de répertoire, mais constitue le point de départ d'une gestion transparente de la protection des données.
Exemple : audit d'un prestataire de services utilisant un outil SaaS
Un cas typique illustre pourquoi cette répartition des responsabilités est si importante. Un service souhaite mettre en place un outil SaaS dans lequel sont traitées des données clients. Le service des achats examine les documents contractuels, le service informatique évalue l'intégration et le concept d'accès, le Protection des données vérifie Traitement des commandes et les flux de données, qui évaluent la sécurité de l'information mesures techniques et organisationnelles, et le département a besoin d'une décision concernant cette affectation.
Si ces documents sont classés séparément dans des boîtes aux lettres, des disques durs, des systèmes de tickets et des journaux de projet, le processus devra être reconstitué laborieusement en cas d'audit. En revanche, s'il est géré par projet, les prestataires de services, Traitement, les contrôles, les validations, les mesures, les TOM et les rappels dans un contexte métier. Cela permet, en cas de contrôle ultérieur, de retrouver non seulement le fichier, mais aussi le parcours décisionnel.
Avec ou sans système professionnel de gestion de la protection des données
La différence essentielle ne réside pas dans le fait que les documents soient ou non stockés sous forme numérique. Ce qui est déterminant, c'est de savoir si le lien entre Traitement, afin que la vérification, la décision, la mesure et la preuve soient conservées de manière durable.
En l'absence d'un système professionnel de gestion de la protection des données, les justificatifs se trouvent souvent dans une boîte mail, sur Teams, sur un disque dur ou chez une seule personne. La recherche doit être recommencée à chaque nouvelle procédure. Le lien avec la personne concernée Traitement doit être reconstituée à partir d'anciens e-mails, de pièces jointes ou de procès-verbaux. Souvent, on ne sait pas clairement qui a réellement pris la décision, quelle version était en vigueur ou si une évaluation était définitive.
Grâce à un système professionnel de gestion de la protection des données, la preuve est associée à l'objet correspondant : un Traitement, un risque, un prestataire, une demande, une validation ou un cas d'utilisation de l'IA. Le rôle, la date, la décision, la version, la mesure, le délai et le statut sont consignés dans la fiche d'opération. Cela permet de Audit Non seulement cela permet de répondre plus rapidement, mais l'ensemble du processus devient également compréhensible pour les nouveaux intervenants.
| Question de la vie quotidienne ou Audit | En l'absence d'un système professionnel de gestion de la protection des données | Doté d'un système professionnel de gestion de la protection des données |
|---|---|---|
| Où sont les preuves ? | Dans la boîte de réception, sur Teams, sur un disque dur ou chez une personne qui était impliquée à l'époque. La recherche repart à zéro à chaque fois. | La preuve dépend de l'objet concerné : Traitement, risque, prestataire de services, demande, autorisation ou cas d'utilisation de l'IA. |
| Quel Traitement est concerné ? | Il faut reconstituer le contexte. Il faut relire et reclasser les anciens e-mails et fichiers. | La preuve est directement liée au RoPA/VVT. Objectif, types de données, systèmes, destinataires et Responsable sont visibles. |
| Qui a pris cette décision ? | La décision se trouve quelque part dans le processus. Souvent, on ne sait pas très bien s'il s'agissait d'une validation définitive, d'une recommandation ou simplement d'un avis provisoire. | Le rôle, la date, la décision et les conditions de validation sont consignés dans l'opération. |
| Quelle version était en vigueur à l'époque ? | Il faut comparer plusieurs versions de fichiers, pièces jointes ou états SharePoint. | Les versions, l'historique des modifications et l'état d'avancement des décisions sont clairement associés à l'objet. |
| Quelles ont été les recommandations de la DSB ? | L'évaluation se trouve dans la boîte aux lettres d'une personne. En cas de changement de personnel ou d'absence, il est difficile de savoir à qui elle est destinée. | L'évaluation DSB est associée au dossier concerné et reste accessible indépendamment des personnes impliquées. |
| Quelle mesure a été prise ? | Cette mesure figure peut-être dans un ticket, une liste Excel ou un autre e-mail. Le lien avec l'évaluation initiale est ténu. | La mesure, le responsable, le délai, le statut et la preuve sont directement liés à l'opération. |
| À quelle vitesse un Audit à quoi répondre ? | L'équipe recherche, se renseigne, trie les différentes versions et élabore une réponse à partir de plusieurs sources. | Le dossier est ouvert, examiné, puis exporté ou fait l'objet d'un rapport si nécessaire. |
| Que se passe-t-il en cas de questions répétées ? | Cette même question relative à la protection des données est traitée à nouveau, car la réponse précédente n'avait pas été correctement associée à ce dossier. | Les questions, réponses et décisions antérieures restent visibles sur l'objet et peuvent être réutilisées. |
| Dans quelle mesure le système résiste-t-il aux changements de personnel ? | Les connaissances disparaissent avec les personnes, les boîtes aux lettres ou les souvenirs informels. | Les connaissances sont conservées tout au long du processus et restent accessibles aux nouveaux participants. |
| Que voit la direction ? | Souvent, ce n'est qu'un instantané reconstitué a posteriori. | Le statut, les risques en suspens, les mesures, les responsabilités et les justificatifs sont issus de données structurées. |
Demandes des personnes concernées et justificatifs réutilisables
Les demandes des personnes concernées permettent également de déterminer si les processus de protection des données sont simplement documentés ou s’ils sont réellement maîtrisés. Une demande d’accès concerne souvent plusieurs traitements, systèmes et services. Il convient de déterminer quelles données à caractère personnel sont traitées, quels systèmes doivent être vérifiés, s’il faut tenir compte d’exceptions et comment la réponse doit être formulée à l’ concernés personne.
Si le traitement est uniquement documenté dans des échanges d'e-mails, le contexte technique risque de se perdre facilement une fois la procédure terminée. En revanche, si la demande est rattachée aux traitements et aux systèmes concernés, on obtient une trace réutilisable. Celle-ci peut également servir de support pour des demandes ultérieures, des contrôles internes ou des audits.
La gouvernance de l'IA obéit à la même logique de justification
La problématique de la traçabilité ne se limite pas aux processus classiques de protection des données. Dans le cadre de la gouvernance de l'IA, la même question se pose sous une nouvelle forme. Un cas d'utilisation de l'IA peut concerner une « Model Card », un contrôle de la protection des données, une évaluation de fournisseur, une évaluation de sécurité, une classification des risques, des autorisations et des exigences de surveillance.
Si ces justificatifs sont dispersés dans différents outils, e-mails et fichiers, cela entraîne là aussi une fragmentation Documentation. Pour garantir une gouvernance solide, il faut pouvoir identifier clairement à quel modèle, à quel cas d'utilisation, à quel risque et à quelle autorisation correspondent les justificatifs concernés. La protection des données et la gouvernance de l'IA partagent ainsi le même principe opérationnel fondamental : Traitement, la responsabilité, le risque, la décision et la justification doivent être pris en compte de manière globale.
Délégué externe à la protection des données et tenue des registres
Un délégué à la protection des données externe peut contribuer de manière significative à la capacité d'une entreprise à apporter la preuve de sa conformité. Cela suppose toutefois que ses conseils ne restent pas en marge de la structure opérationnelle. Art. 38 RGPD exige que le délégué à la protection des données soit associé de manière appropriée et en temps utile à toutes les questions relatives à la protection des données à caractère personnel. Il doit en outre avoir accès aux données à caractère personnel et aux opérations de traitement, et pouvoir rendre compte directement à la direction générale.
Concrètement, cela signifie qu’une évaluation DSB ne doit pas aboutir dans la boîte mail d’une seule personne. Elle doit être rattachée au dossier auquel elle se rapporte, c’est-à-dire au Traitement, le projet, le risque, la mesure ou l'autorisation. C'est seulement ainsi qu'il sera possible de retracer quelle recommandation a été formulée, quelle décision en a découlé et si la mise en œuvre pourra être vérifiée ultérieurement.
Ailance, une plateforme dédiée à la gestion des justificatifs liés aux biens immobiliers
Ailance est conçue selon cette approche centrée sur les objets. La plateforme ne sert pas seulement d'espace de stockage supplémentaire pour les documents, mais associe également les informations relatives à la protection des données aux objets de gouvernance correspondants. Une Traitement peut contenir ses justificatifs, un risque ses mesures, un prestataire ses contrôles, un cas d'utilisation de l'IA sa « Model Card » et ses autorisations, une demande d'une personne concernée les traitements et les systèmes vérifiés dans chaque cas.
Cela modifie la problématique pratique. Ce n'est plus seulement l'emplacement de stockage d'un document qui importe. Ce qui est déterminant, c'est le processus auquel il est associé. Cette association facilite les audits, les rapports de gestion, les demandes des clients et les contrôles internes, car il n'est plus nécessaire de rassembler a posteriori des justificatifs provenant de différentes sources.
Importance économique des justificatifs relatifs aux biens immobiliers
La gestion des justificatifs par objet n'est pas seulement une question de formalités Conformité. Elle concerne également la charge de travail des services chargés de la protection des données, des services juridiques, des services de sécurité et des services spécialisés. Les temps de recherche, les demandes de précisions, les doubles vérifications, les rapports établis manuellement et la dépendance vis-à-vis de certaines personnes entraînent des coûts considérables sur l'ensemble des processus, même s'ils sont rarement comptabilisés comme un poste distinct.
Lorsqu'un Équipe de protection des données Lorsque l’on traite, au cours d’une année, de nombreuses autorisations, vérifications, demandes des personnes concernées, évaluations de prestataires, avis du DPD et justificatifs, le fait que chaque dossier commence par une recherche ou que le contexte pertinent soit déjà disponible fait une différence considérable. La capacité d’audit n’est donc pas seulement une question de justification, mais aussi une question d’efficacité et de pilotage.
Vérification pratique de la chaîne de traçabilité existante
Les entreprises peuvent évaluer leur situation actuelle à l'aide d'un test simple. Il convient de partir d'un élément essentiel Traitement par exemple un portail client, un système CRM, un processus RH, un Vidéosurveillance, une méthode d'analyse par IA, un processus de newsletter ou une procédure de diligence raisonnable.
Pour cela Traitement Il convient de vérifier où se trouvent les justificatifs pertinents et s'ils sont correctement rattachés au dossier concerné. Si ces justificatifs sont dispersés entre des boîtes mail, des discussions Teams, des disques durs, des systèmes de tickets et les connaissances individuelles des collaborateurs, il est souvent nécessaire d'intervenir. L’étape suivante ne consiste pas à créer un dossier supplémentaire. Il est essentiel d’associer les justificatifs aux objets concernés et d’établir ainsi une chaîne de traçabilité fiable.
Conclusion
La boîte aux lettres permet de stocker les communications, mais ne remplace pas un système de traçabilité pour les processus liés à la protection des données. Pour garantir une organisation solide en matière de protection des données, les traces doivent être conservées là où le contexte opérationnel se situe : lors de la Traitement, qu'il s'agisse du risque, du prestataire de services, de la validation, de la demande de la personne concernée, du cas d'utilisation de l'IA ou de la mesure.
Ce n'est qu'à travers cette classification qu'il est possible de déterminer quelles Traitement quelles évaluations ont été réalisées, qui y a participé, quelle version était en vigueur, quelle décision a été prise et quelles mesures en ont découlé. Les justificatifs relatifs à la protection des données ne doivent donc pas être stockés isolément dans des boîtes mail ou sur des disques durs, mais s'inscrire dans une structure alliant responsabilité, auditabilité et pilotage opérationnel.
Questions et réponses
Pourquoi les justificatifs relatifs à la protection des données ne devraient-ils pas se limiter aux e-mails ?
Les e-mails permettent de conserver une trace de la communication, mais ne reflètent que de manière incomplète le contexte technique d'une décision relative à la protection des données. Pour disposer d'une preuve solide, il doit être possible de déterminer à quelle Traitement, à quel risque, à quelle autorisation ou à quelle opération appartient une information. Cette association se perd souvent dans les boîtes de réception et les historiques d'e-mails.
Que signifie la « conservation des preuves liées aux données » dans le domaine de la protection des données ?
La gestion des justificatifs par objet signifie que les justificatifs sont directement associés à l'objet de gouvernance concerné. Il peut s'agir d'un Traitement dans le RoPA, qu'il s'agisse d'un prestataire de services, d'un risque, d'une demande d'une personne concernée, d'un cas d'utilisation de l'IA, d'une autorisation ou d'une mesure. Cela permet de conserver la traçabilité du contexte métier même par la suite.
Quel rôle joue le RoPA dans les déclarations de conformité en matière de protection des données ?
Le RoPA définit le cadre général des activités de traitement, notamment les finalités, les catégories de données, les destinataires, les délais de conservation, mesures techniques et organisationnelles ainsi que les responsabilités. C'est pourquoi il constitue un point de référence pour les justificatifs relatifs aux validations, aux contrôles des prestataires, aux décisions de la DSFA, aux TOM ou aux évaluations du DPD.
SharePoint est-il suffisant pour établir la conformité en matière de protection des données ?
SharePoint permet de stocker des documents de manière structurée, mais ne remplace pas automatiquement un système de traçabilité conforme à la réglementation en matière de protection des données. Ce qui est déterminant, c'est de savoir si une trace est bien associée à la bonne procédure et si la responsabilité, la version, la décision, le statut et les mises à jour ultérieures restent traçables.
Pourquoi la gestion des justificatifs par objet est-elle vérifiable lors d'un audit ?
La gestion des justificatifs par objet facilite les audits, car elle met en évidence le lien entre Traitement, contrôle, décision, version, mesure et responsabilité. Ainsi, en cas d'audit, il n'est pas nécessaire de reconstituer les justificatifs à partir de plusieurs systèmes ; ceux-ci peuvent être présentés en étant associés à l'opération correspondante.
Comment Ailance peut-elle vous aider à établir vos justificatifs en matière de protection des données ?
Ailance peut aider les entreprises à relier les justificatifs aux objets de gouvernance concernés. Les traitements, les risques, les prestataires, les cas d'utilisation de l'IA, les autorisations, les mesures et les demandes des personnes concernées peuvent ainsi être documentés dans leur contexte et rendus traçables pour les audits, les rapports de gestion et les contrôles opérationnels.
German 
English 
Italian 
French