Votre registre RGPD est à jour. Et les pratiques sur le terrain ?

Une fiche exacte hier peut être dépassée aujourd'hui

Une équipe ressort son registre pour préparer une revue. La fiche indique une durée de conservation et deux destinataires. Entre-temps, un service a changé de prestataire, ajouté un export et accordé de nouveaux accès. Le document n'est pas inutile : il constitue précisément le point de départ pour repérer ces changements.

La question utile devient : les faits décrits correspondent-ils toujours à la réalité ? Il ne faut ni dévaloriser le travail documentaire du DPO, ni confondre un document complet avec une vérification de toutes les pratiques. Les deux se renforcent lorsqu'ils sont reliés.

Ce que le registre apporte réellement

Prévu par l'article 30 du RGPD, le registre recense notamment les finalités, catégories de données et de personnes, destinataires et autres informations exigées selon le rôle de l'organisme. La CNIL le présente comme un outil de documentation et de pilotage qui doit refléter la réalité des traitements.

L'article 30, paragraphe 5, prévoit une dérogation limitée pour les entreprises et organisations employant moins de 250 personnes. Elle ne dispense pas d'inscrire au registre les traitements susceptibles de comporter un risque pour les droits et libertés, non occasionnels, ou portant sur les catégories particulières de données de l'article 9 ou sur les condamnations pénales et infractions visées à l'article 10. L'effectif seul ne permet donc pas de conclure à une dispense générale.

C'est donc un support vivant, utile pour identifier les questions à résoudre. Une information inconnue mérite d'être signalée et attribuée à un responsable de vérification. Compléter une rubrique avec une formule rassurante, mais non vérifiée, n'améliore pas la connaissance du traitement.

Responsabilité et sécurité vont au-delà du recensement

L'article 5, paragraphe 2, impose au responsable du traitement de pouvoir démontrer le respect des principes. L'article 24 prévoit des mesures appropriées, réexaminées et actualisées si nécessaire. L'article 32 concerne un niveau de sécurité adapté au risque et, selon les besoins, l'évaluation régulière de l'efficacité des mesures.

Ces exigences ne signifient pas que chaque organisme doit acheter le même logiciel ou produire le même dossier. Les éléments utiles dépendent du traitement, des risques et des responsabilités. L'important est de distinguer ce qui est prévu, ce qui a été mis en place et ce qui a été vérifié.

Six rapprochements simples à organiser

Choisissez un traitement prioritaire et confrontez sa fiche aux éléments disponibles. Ces pistes de revue ne constituent pas une liste exhaustive de conformité.

• Finalité déclarée : correspond-elle encore aux usages du service métier ?
• Données recensées : existe-t-il des exports ou des copies non pris en compte ?
• Destinataires indiqués : les prestataires et les personnes habilitées sont-ils les bons ?
• Conservation annoncée : comment l'effacement ou l'archivage est-il effectivement appliqué ?
• Sécurité décrite : quels contrôles, tests ou revues permettent de l'apprécier ?
• Écarts relevés : qui décide de l'action, avec quelle échéance et quelle vérification ensuite ?

Passer d'une collection de pièces à un dossier exploitable

Pour examiner une solution comme NELSPACE, partez d'un traitement connu. Demandez à relier les informations du dossier, les pièces disponibles, les décisions et les points ouverts. Vérifiez également que les limites et les données manquantes restent visibles.

Le résultat recherché est un travail plus lisible entre les métiers, le DPO et les équipes techniques. Un dossier organisé facilite la revue ; il ne remplace pas les mesures à exécuter ni l'analyse du contexte. Aucune couleur de tableau de bord ne constitue, seule, une certification réglementaire.