Une organisation utilise des données personnelles dans ses formulaires, ses outils de gestion, ses échanges avec des prestataires et ses services internes. Pour comprendre ces usages, la cartographie des données décrit leur origine, leurs circulations, leurs finalités et les protections associées.
Ce travail d’inventaire constitue une base concrète pour établir le registre des traitements prévu par l’article 30 du RGPD. Selon la CNIL, ce registre documente les activités de traitement et aide l’organisme à piloter sa conformité réglementaire.
A retenir :
- Vision claire des données personnelles et de leurs usages internes
- Registre des traitements aligné sur les pratiques réelles
- Risques mieux repérés avant les incidents ou les contrôles
- Actions de conformité réglementaire priorisées selon les enjeux
Cartographie des données : le socle du registre des traitements
Cette vision d’ensemble prend forme lorsque chaque service décrit ses activités plutôt que ses seuls logiciels. Une même plateforme peut soutenir plusieurs finalités, tandis qu’un seul traitement mobilise parfois plusieurs outils.
Recenser les traitements selon leur finalité
Pour construire la cartographie des données, il faut d’abord identifier chaque objectif poursuivi avec des informations personnelles. Une PME fictive distinguera, par exemple, la gestion des candidatures, la facturation et l’envoi de lettres d’information.
Selon la CNIL, le registre doit refléter les traitements réellement mis en œuvre, et non simplement reproduire l’inventaire des logiciels. Cette distinction évite de confondre un outil informatique avec une activité ayant sa propre finalité du traitement.
Pour commencer les entretiens, les équipes peuvent examiner les formulaires en ligne, les pratiques commerciales et les tâches administratives. Elles repèrent ainsi les informations collectées, les personnes concernées et les services qui y accèdent.
Repères pour l’inventaire des activités :
- Gestion des clients, prospects et commandes commerciales
- Administration du personnel et suivi des candidatures
- Gestion des demandes, réclamations et contacts en ligne
- Hébergement, maintenance et services confiés aux prestataires
Relier chaque activité aux informations utilisées
Une fois les activités recensées, la cartographie précise les catégories de données, leurs destinataires et leurs durées de conservation. Elle décrit également les transferts éventuels et les mesures de sécurité techniques ou organisationnelles.
Le tableau ci-dessous illustre les informations à examiner pour différents usages, sans présumer des pratiques d’une organisation particulière. Chaque structure doit vérifier ses propres opérations avec les équipes concernées.
Activité
Données à examiner
Destinataires possibles
Point de contrôle
Gestion des commandes
Identité et coordonnées
Équipes commerciales et logistiques
Durée de conservation définie
Recrutement
Parcours et coordonnées des candidats
Ressources humaines et responsables concernés
Accès limité aux personnes habilitées
Assistance clientèle
Coordonnées et historique des demandes
Service d’assistance et prestataire éventuel
Suppression après la période utile
Envoi de lettres d’information
Adresse électronique et préférences
Équipe de communication et outil d’envoi
Gestion des désabonnements
Registre RGPD : documenter les responsabilités et les flux
Lorsque les usages sont clarifiés, l’organisation peut convertir l’inventaire en fiches de registre exploitables. Cette étape distingue notamment les activités dont elle détermine elle-même les objectifs de celles réalisées pour ses clients.
Identifier le responsable de traitement et les prestataires
Pour chaque fiche, le responsable de traitement documente les finalités, les catégories de personnes et les destinataires. Il indique aussi les éventuels responsables conjoints, sous-traitants et transferts vers des pays tiers.
Selon la CNIL, un organisme qui agit à la fois comme responsable et comme sous-traitant doit distinguer ces activités dans son registre. Un prestataire informatique, par exemple, recense séparément ses traitements internes et les opérations conduites pour ses clients.
Éléments à renseigner dans les fiches :
- Finalités et catégories de personnes concernées
- Catégories de données et destinataires identifiés
- Durées prévues ou critères de conservation
- Mesures de sécurité et transferts éventuels
Préciser les durées et le cycle de vie des données
Le cycle de vie des données ne s’arrête pas à leur collecte : il comprend leur utilisation, leur partage, leur archivage et leur suppression. Décrire ces étapes aide à repérer les informations conservées sans nécessité opérationnelle claire.
Le registre peut être tenu sur papier ou sous forme électronique, puisque le RGPD impose une documentation écrite sans modèle unique. La CNIL propose un modèle de base, que l’organisme peut enrichir selon ses activités et ses besoins.
Le tableau distingue les responsabilités à documenter selon le rôle exercé, conformément aux exigences générales de l’article 30. Les mentions précises doivent être adaptées aux opérations réellement réalisées.
Rôle exercé
Activités à recenser
Informations distinctives
Responsable de traitement
Traitements décidés par l’organisme
Finalités et responsables conjoints éventuels
Sous-traitant
Catégories d’opérations effectuées pour les clients
Clients et sous-traitants mobilisés
Responsable et sous-traitant
Activités propres et activités pour les clients
Distinction claire entre les deux registres
Organisme avec transferts internationaux
Traitements concernés par les transferts
Destination et garanties applicables, si requises
Maintenir la cartographie et piloter la conformité réglementaire
Une fois le registre établi, sa valeur dépend de son actualisation et de son usage dans les décisions quotidiennes. Les changements d’outils, de prestataires ou de pratiques peuvent modifier les flux et rendre certaines fiches obsolètes.
Mettre à jour le registre au rythme des changements
Un nouveau formulaire, une durée de conservation prolongée ou un destinataire supplémentaire justifie une vérification de la fiche concernée. Selon la CNIL, le registre doit être mis à jour au gré des évolutions fonctionnelles et techniques des traitements.
Dans une équipe concrète, un point de contact par service peut signaler ces changements au responsable du registre. Cette organisation évite que la cartographie reste figée alors que les usages évoluent progressivement.
Signaux de mise à jour à surveiller :
- Collecte d’une nouvelle catégorie de données personnelles
- Modification des destinataires ou du prestataire utilisé
- Évolution des durées de conservation ou d’archivage
- Nouveau transfert ou changement de mesure de sécurité
Transformer l’inventaire en plan d’action RGPD
La cartographie facilite l’analyse des écarts entre les pratiques et les exigences applicables, puis l’organisation peut prioriser les corrections. Elle aide aussi à vérifier la nécessité des données, l’accès accordé et la cohérence des durées retenues.
Le registre demeure un document interne évolutif, mais il doit pouvoir être présenté à la CNIL lorsqu’elle le demande. Pour une organisation publique, les règles de communicabilité des documents administratifs s’appliquent, sous réserve des occultations nécessaires.
Dans le secteur privé, le registre n’est pas automatiquement destiné au public, même si l’organisme peut choisir de le partager. Sa tenue régulière transforme donc un exercice documentaire en outil de pilotage et de protection des personnes.
Source : Commission nationale de l’informatique et des libertés, « Le registre des activités de traitement », CNIL, 13 avril 2018.
