Tronc commun / CEJM / CEJM appliqué — Gouvernance et conformité des données

CEJM appliqué — Gouvernance et conformité des données

Module CEJM appliqué. Les notions de base du RGPD sont dans la fiche Données personnelles et RGPD ; on traite ici l'organisation de la conformité dans l'entreprise.

1. Qui est responsable de quoi

Erreur fréquente en étude de cas : croire qu'externaliser transfère la responsabilité. Faux. Le responsable de traitement reste responsable ; il doit choisir un sous-traitant présentant des garanties suffisantes et encadrer la relation par un contrat conforme à l'article 28. Le sous-traitant engage sa propre responsabilité s'il sort de ses instructions.

Contenu obligatoire du contrat de sous-traitance (art. 28) : objet et durée, nature et finalité, catégories de données et de personnes, obligations du sous-traitant — agir sur instruction documentée, confidentialité du personnel, mesures de sécurité, autorisation préalable pour la sous-traitance ultérieure, assistance au responsable, sort des données en fin de contrat, mise à disposition des éléments d'audit.

2. Le DPO

Délégué à la protection des données (Data Protection Officer). Sa désignation est obligatoire dans trois cas :

• l'organisme est une autorité ou un organisme public ;
• l'activité de base implique un suivi régulier et systématique à grande échelle ;
• l'activité de base implique un traitement à grande échelle de données sensibles ou relatives à des condamnations.

Statut protégé : il rapporte au plus haut niveau de la direction, dispose de moyens, ne reçoit aucune instruction sur l'exercice de ses missions et ne peut être sanctionné pour les avoir exercées. Il peut être interne, externe, ou mutualisé entre plusieurs organismes.

Point d'examen : le DPO ne décide pas, il conseille et contrôle. C'est le responsable de traitement qui décide et qui reste responsable. D'où l'incompatibilité entre la fonction de DPO et celle de DSI ou de directeur marketing : on ne peut pas contrôler ses propres décisions.

3. Le registre des traitements

Document obligatoire recensant tous les traitements de l'organisme. C'est l'outil central de l'accountability : la première chose que demande la CNIL lors d'un contrôle.

Le sous-traitant tient son propre registre, listant les traitements effectués pour le compte de ses clients.

4. L'analyse d'impact (AIPD)

AIPD (ou DPIA) = étude préalable évaluant les risques d'un traitement pour les droits et libertés des personnes. Obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé.

La CNIL retient neuf critères ; à partir de deux critères réunis, l'AIPD est en principe requise :

• évaluation ou scoring
• décision automatisée avec effet juridique
• surveillance systématique
• données sensibles ou hautement personnelles
• traitement à grande échelle
• croisement de jeux de données
• personnes vulnérables (mineurs, patients, salariés)
• usage innovant d'une technologie
• traitement qui empêche l'exercice d'un droit ou l'accès à un service

Contenu : description du traitement, évaluation de la nécessité et de la proportionnalité, analyse des risques (accès illégitime, modification non désirée, disparition de données), mesures envisagées. Si le risque résiduel reste élevé malgré les mesures, il faut consulter la CNIL avant de démarrer.

L'AIPD précède le traitement : elle se conduit en phase de conception, ce qui la relie directement au principe suivant.

5. Privacy by design et by default

Conséquence concrète pour un développeur : la conformité se joue au moment de la modélisation des données. Ajouter une colonne « date de naissance » sans finalité identifiée, c'est créer une non-conformité qu'il faudra corriger plus tard, avec migration et purge. Voir la mise en œuvre applicative dans RGPD applicatif.

6. Transferts hors UE

Un transfert de données hors de l'Espace économique européen n'est licite que sur un fondement précis :

• Décision d'adéquation de la Commission européenne, qui reconnaît un niveau de protection équivalent dans le pays destinataire ;
• Clauses contractuelles types (CCT) adoptées par la Commission ;
• Règles d'entreprise contraignantes (BCR) au sein d'un groupe ;
• à défaut, dérogations limitées (consentement explicite, exécution d'un contrat).

Enjeu de souveraineté : des législations extraterritoriales peuvent permettre à des autorités étrangères d'accéder à des données hébergées par des prestataires soumis à leur droit, même si les serveurs sont physiquement en Europe. D'où la question, en étude de cas, du choix d'un hébergeur et de la qualification SecNumCloud délivrée par l'ANSSI.

7. Ce que cela change pour le technicien

• Cartographier : savoir où sont les données, dans quelles bases, quels sauvegardes, quels exports.
• Purger : implémenter les durées de conservation, ce qui suppose un champ de date et une tâche planifiée — la purge ne se fait jamais toute seule.
• Tracer : journaliser les accès aux données sensibles, sans créer un nouveau traitement non déclaré.
• Sécuriser : chiffrement, contrôle d'accès, sauvegardes — l'article 32 impose des mesures adaptées au risque.
• Alerter : signaler une violation immédiatement, le délai de 72 h court dès la prise de connaissance.
• Documenter : chaque mesure doit pouvoir être prouvée.