Mise en conformité RGPD : la démarche étape par étape

Avant 2018, la conformité passait surtout par des formalités préalables : on déclarait ses fichiers à la CNIL. Le règlement général sur la protection des données (RGPD) a remplacé cette logique par celle de la responsabilité : le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour garantir que ses traitements respectent le règlement, et pour être en mesure de le démontrer. Ces mesures sont réexaminées et actualisées si nécessaire (article 24).

Être conforme, c'est donc tenir deux choses ensemble : des pratiques réelles (on ne collecte que le nécessaire, on informe, on protège, on supprime à temps) et une documentation qui les décrit et les prouve. L'une sans l'autre ne suffit pas : un registre impeccable qui ne correspond pas aux traitements réels est aussi fragile qu'une bonne pratique qu'aucun document n'atteste.

Le règlement ne prescrit pas de méthode. La démarche ci-dessous suit l'ordre proposé par la CNIL dans sa fiche « se préparer en 6 étapes » (désigner un pilote, cartographier, prioriser, gérer les risques, organiser les processus internes, documenter), détaillé obligation par obligation.

1. Étape 1 Gouvernance et DPO Désigner un pilote, le DPO quand il est obligatoire, et répartir les rôles.
2. Étape 2 Registre des traitements Recenser chaque traitement par finalité.
3. Étape 3 Base légale et information Justifier chaque traitement, minimiser, informer les personnes.
4. Étape 4 Droits des personnes Une procédure pour répondre dans le délai d'un mois.
5. Étape 5 Sous-traitants Choisir des prestataires sûrs et signer un contrat conforme.
6. Étape 6 Sécurité Des mesures adaptées au risque, testées régulièrement.
7. Étape 7 Analyse d'impact Une AIPD pour chaque traitement à risque élevé.
8. Étape 8 Violations de données Détecter, consigner, notifier en 72 heures.
9. Étape 9 Documentation et responsabilité Rassembler les preuves et les tenir à jour.

La CNIL recommande de commencer par désigner un pilote, qui coordonne la démarche et fait le lien avec les métiers. Dans trois cas, ce pilote a un statut imposé : le délégué à la protection des données (DPO) est obligatoire pour les autorités et organismes publics, et pour les organismes dont l'activité de base suppose un suivi régulier et systématique des personnes à grande échelle ou un traitement à grande échelle de données sensibles (article 37). Ses coordonnées sont publiées et communiquées à la CNIL.

Le DPO informe, conseille et contrôle, mais ne décide pas : la responsabilité reste celle de la direction. La gouvernance consiste donc aussi à dire qui valide un nouveau traitement, qui signe les contrats, qui notifie une violation, et comment le DPO et le responsable de la sécurité des systèmes d'information (RSSI) travaillent ensemble. Le chapitre sur le DPO détaille ces règles, y compris son indépendance et les conflits d'intérêts à éviter.

On ne met en conformité que ce que l'on connaît. Le registre des activités de traitement de l'article 30 décrit chaque traitement : finalité, catégories de personnes et de données, destinataires, transferts hors de l'Union, durées de conservation et mesures de sécurité. La CNIL conseille de le construire par finalité (gestion de la paie, prise de rendez-vous…) plutôt que par logiciel, avec les métiers qui manipulent les données.

Le registre sert ensuite de tableau de bord pour toutes les étapes suivantes : il révèle les traitements sans base légale claire, les prestataires sans contrat, les durées de conservation manquantes et les traitements qui exigent une analyse d'impact. Le chapitre registre des traitements donne le contenu attendu et un exemple rempli.

Chaque traitement doit reposer sur l'une des six bases légales de l'article 6 : consentement, exécution d'un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public ou intérêts légitimes de l'organisme (cette dernière n'est pas ouverte aux autorités publiques dans l'exercice de leurs missions). Les données sensibles (santé, opinions, biométrie…) sont en principe interdites et ne peuvent être traitées que dans les cas prévus par l'article 9. Quand la base retenue est le consentement, l'organisme doit pouvoir prouver qu'il a été donné (article 7).

C'est aussi le moment d'appliquer les principes de l'article 5 à chaque fiche du registre : ne garder que les données utiles à la finalité, fixer une durée de conservation pour chaque catégorie, et supprimer ou archiver le reste. Pour les nouveaux projets, ces choix se font dès la conception : voir le chapitre privacy by design.

Enfin, les personnes doivent être informées : qui traite leurs données, pour quoi, sur quelle base, combien de temps, avec quels destinataires, et comment exercer leurs droits. L'information est donnée au moment de la collecte (article 13) ou, si les données ont été obtenues ailleurs, dans un délai raisonnable ne dépassant pas un mois (article 14).

Le RGPD donne aux personnes des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que des garanties face aux décisions entièrement automatisées (articles 15 à 22). L'organisme répond dans un délai d'un mois à compter de la réception de la demande ; ce délai peut être prolongé de deux mois pour les demandes complexes ou nombreuses, à condition de prévenir la personne dans le premier mois (article 12).

Tenir ce délai suppose une procédure écrite : un point d'entrée connu (adresse dédiée, formulaire), une vérification proportionnée de l'identité, la liste des systèmes où chercher les données, un responsable de la réponse et un suivi des demandes reçues. Le RSSI y contribue souvent pour les extractions et les suppressions techniques.

Le responsable du traitement ne fait appel qu'à des sous-traitants qui présentent des garanties suffisantes (article 28, paragraphe 1), et signe avec chacun un contrat qui reprend les clauses obligatoires du paragraphe 3 : instructions documentées, confidentialité, sécurité, sous-traitants ultérieurs, aide à l'exercice des droits, sort des données en fin de contrat, mise à disposition des informations et audits. Le chapitre article 28 en donne une trame commentée.

La mise en conformité passe donc par un inventaire des prestataires qui touchent à des données personnelles (hébergeur, éditeur en ligne, prestataire de paie, centre d'appels…) et par la reprise des contrats incomplets. Si des données sortent de l'Union européenne, le transfert doit en plus s'appuyer sur un des outils du chapitre V du règlement, par exemple une décision d'adéquation de la Commission européenne ou des clauses contractuelles types.

L'article 32 demande des mesures de sécurité adaptées au risque, en tenant compte de l'état des connaissances, des coûts et de la nature du traitement. Il cite la pseudonymisation et le chiffrement, la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la capacité à rétablir les données après un incident, et une procédure pour tester et évaluer régulièrement l'efficacité des mesures.

Pour passer à la pratique, le guide de la sécurité des données personnelles de la CNIL (édition 2024) propose 25 fiches, chacune avec des précautions élémentaires et des mesures plus avancées : gestion des habilitations, authentification, journalisation, sauvegardes, chiffrement, informatique en nuage, applications mobiles, intelligence artificielle… Le RSSI peut s'appuyer sur sa politique de sécurité des systèmes d'information (PSSI) et sur une analyse de risques pour justifier le niveau retenu.

Pour chaque traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, l'article 35 impose une analyse d'impact relative à la protection des données (AIPD, ou PIA) avant sa mise en œuvre, en demandant conseil au DPO. Pour repérer ces traitements, la CNIL reprend les neuf critères des lignes directrices européennes (évaluation ou notation, décision automatisée, surveillance systématique, données sensibles, grande échelle, croisement de données, personnes vulnérables, usage innovant, exclusion d'un droit ou d'un service) : un traitement qui en remplit au moins deux doit en principe faire l'objet d'une AIPD. Elle publie aussi une liste de traitements pour lesquels l'analyse est obligatoire.

L'AIPD décrit le traitement, justifie sa nécessité et sa proportionnalité, apprécie les risques pour les personnes et fixe les mesures pour les réduire. Si un risque élevé subsiste malgré ces mesures, la CNIL doit être consultée avant la mise en œuvre (article 36). Notre article sur l'AIPD détaille la méthode.

Une violation de données personnelles est un incident de sécurité qui entraîne, accidentellement ou non, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données. Le responsable du traitement la notifie à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes (article 33) ; si le risque est élevé, il informe aussi les personnes concernées (article 34). Toute violation, notifiée ou non, est consignée dans une documentation interne : faits, effets et mesures prises.

Ces délais ne se tiennent que si la procédure existe avant l'incident : qui alerte le DPO, qui qualifie la gravité, qui décide de notifier, quel modèle de message utiliser pour les personnes. Le contrat de chaque sous-traitant doit l'obliger à prévenir sans délai.

La dernière étape donne sa valeur à toutes les autres. L'organisme rassemble les documents qui prouvent sa conformité, met en place des politiques de protection des données quand c'est proportionné à ses traitements (article 24, paragraphe 2), forme les personnes qui manipulent des données et organise des contrôles réguliers. L'adhésion à un code de conduite approuvé ou une certification peuvent servir d'éléments de preuve (articles 24.3, 40 et 42), sans remplacer la documentation.

La conformité se maintient ensuite à chaque événement : un nouveau traitement crée une fiche au registre, un nouveau prestataire un contrat, un incident une entrée au registre des violations. Un audit RGPD périodique vérifie que la documentation correspond toujours à la réalité et relance la démarche là où elle a décroché.

La CNIL classe la documentation de conformité en trois familles : ce qui décrit les traitements, ce qui concerne l'information des personnes, et les contrats et procédures qui fixent les rôles de chacun. Le tableau suivant rattache les principales pièces aux étapes ci-dessus. Le registre est un document interne, mais il doit pouvoir être communiqué à la CNIL lorsqu'elle le demande, comme le reste de la documentation.