Quels documents vous faut-il pour démontrer la conformité en matière de protection des données auprès d'un acheteur public ou d'un assureur ?
Lorsqu'un acheteur public ou un assureur vous demande de prouver que vous traitez les données personnelles avec soin, cela se résume généralement à un ensemble fixe : un registre des activités de traitement, les contrats de traitement de données avec vos propres fournisseurs, une déclaration de confidentialité, un aperçu des mesures de sécurité que vous appliquez, et une brève description de la façon dont vous traitez une violation de données ou une demande d'une personne concernée. Lors d'un marché public, cela s'accompagne souvent d'un questionnaire complété ou d'une déclaration ; chez un assureur, il s'agit plutôt d'un formulaire d'admission pour une police cyber.
La raison pour laquelle cet ensemble revient constamment, c'est que le RGPD comporte une obligation de responsabilité : une organisation doit non seulement traiter les données personnelles avec soin, mais aussi pouvoir le prouver. Un acheteur ou un assureur ne teste donc pas si vous « faites quelque chose en matière de confidentialité », mais si vous pouvez le montrer sur papier. C'est précisément le détail qui compte à ce moment d'achat : non pas l'intention, mais la preuve.
Le registre des activités de traitement comme colonne vertébrale
Le registre des activités de traitement est généralement le premier document demandé, et aussi celui sur lequel repose le reste. Il indique quelles données personnelles vous traitez, dans quel but, qui les reçoit et combien de temps vous les conservez. Un acheteur public reconnaît rapidement si une organisation a structurellement réfléchi à ses flux de données, ou si le registre a été créé spécialement pour la demande. Ce qui doit exactement y figurer et le niveau de détail requis, vous pouvez le lire dans la base de connaissances avec explications par sujet.
Contrats de traitement de données avec vos propres fournisseurs
Le second document presque toujours demandé est l'aperçu des contrats de traitement de données : les contrats que vous avez vous-même conclus avec les outils SaaS et les prestataires de services qui traitent les données personnelles en votre nom. Pensez à un logiciel de paie, un système CRM ou un service cloud pour les fichiers. Un acheteur ou un assureur ne veut pas seulement voir que ces contrats existent, mais aussi qu'ils sont à jour et alignés sur les outils réellement utilisés. Un registre qui mentionne trois fournisseurs alors qu'il y en a réellement huit en activité sera rapidement détecté lors d'un examen approfondi.
Sécurité et gestion des incidents
Outre le registre et les contrats, on demande souvent les mesures organisationnelles et techniques mises en place : qui a accès à quels systèmes, comment les données sont-elles chiffrées, existe-t-il une stratégie de sauvegarde. Les assureurs le demandent souvent explicitement dans un questionnaire pour le calcul des primes. Vous pouvez consulter un aperçu des mesures prises sur la page relative à la sécurité des données personnelles. En outre, on demande régulièrement comment une organisation identifie et traite une violation de données : existe-t-il une procédure, quelqu'un sait-il qui alerter et dans quel délai. L'arbre de décision qui détermine si un incident est sujet à notification, vous pouvez le parcourir en quelques questions pour voir où vous en êtes à peu près.
Ce qu'une liste ne résout pas
Il est tentant de voir ces documents comme une liste de contrôle à cocher en une demi-journée. Cela ne fonctionne pas bien, et c'est justement le piège à ce moment d'achat. Un registre des activités de traitement qui ne correspond pas aux outils réels, ou un contrat de traitement de données jamais relus, ne résiste pas à un examen approfondi. Les autorités de contrôle et les acheteurs publics aussi examinent la cohérence : les documents s'articulent-ils bien ensemble, et est-il plausible qu'ils soient tenus à jour en continu plutôt que rédigés une seule fois.
C'est pourquoi il est plus utile de considérer ces documents comme un ensemble continu qui évolue avec les outils et processus que vous utilisez, plutôt que comme un ensemble unique de papiers pour une seule demande. La façon dont cette structure se présente et d'où proviennent les informations est expliquée sur la page comment le système est structuré.
Quand faites-vous appel à un juriste
Une condition de marché public ou une condition de police d'assurance peut imposer des exigences spécifiques qui vont au-delà du RGPD lui-même, par exemple une certification ISO obligatoire ou une clause de responsabilité. L'évaluation de la conformité de vos documents à ces exigences est une question juridique qui relève du marché ou de la police en question, et il est préférable de la faire examiner par un juriste ou, en cas de doute sur le RGPD lui-même, de consulter l'Autorité de protection des données.
Vous voulez savoir quels documents sont déjà en ordre pour votre situation et lesquels manquent encore? Faites la vérification rapide gratuite ou lisez d'autres sujets dans la base de connaissances pour déterminer où vous en êtes.