Les sept principes du traitement des données : une procédure opérationnelle par rôle

01

Les principes que l'article 5 du RGPD impose au traitement

L'article 5 du RGPD énumère six principes : licéité, loyauté et transparence ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; intégrité et confidentialité. Un septième principe, la responsabilité, impose au responsable du traitement d'être compétent pour le respect des six premiers et de pouvoir le démontrer.

02

Pourquoi la responsabilité change l'organisation des rôles

L'article 5, paragraphe 2, ne demande pas seulement de respecter les principes mais de le démontrer. Cela déplace le travail d'une déclaration d'intention vers un ensemble de preuves : qui décide des finalités, qui traite les données, qui conserve les preuves des choix effectués. Le RGPD prévoit également que le responsable du traitement réexamine l'analyse d'impact lorsque le risque du traitement évolue.

03

Une procédure par rôle, du responsable au sous-traitant

Étapes

1. Le responsable du traitement définit des finalités déterminées, explicites et légitimes avant de collecter des données.
2. Le responsable vérifie que les données collectées sont adéquates, pertinentes et limitées à ce qui est nécessaire.
3. Qui gère les données dans le temps met à jour ou supprime rapidement les informations inexactes.
4. Le sous-traitant traite les données uniquement sur instruction documentée du responsable, sauf obligation légale différente.
5. Le responsable réexamine l'analyse d'impact lorsque le niveau de risque du traitement change.

04

Exemple hypothétique : une PME qui confie la gestion de la paie à un prestataire externe

Exemple hypothétique. Une entreprise confie le traitement des bulletins de paie à un prestataire externe. Le responsable documente les instructions données au prestataire, qui agit en tant que sous-traitant. Le sous-traitant garantit la confidentialité du personnel autorisé, adopte les mesures de sécurité requises et, à la fin du contrat, supprime ou restitue les données selon le choix du responsable.

05

Vérifications à effectuer avant de considérer un traitement conforme

• Les finalités du traitement sont écrites et communiquées, pas seulement présumées.
• Les données collectées sont limitées à ce qui est nécessaire pour cette finalité.
• Il existe une procédure pour corriger ou supprimer des données inexactes.
• Le contrat avec chaque sous-traitant prévoit des instructions documentées.
• Le sous-traitant peut démontrer, avec des documents, le respect de ses obligations.

06

Comment un logiciel de gestion peut soutenir cette procédure

Une entreprise peut demander à son partenaire logiciel de configurer une traçabilité sur qui saisit, modifie ou supprime des données personnelles, avec des rôles distincts pour le responsable du traitement et le sous-traitant. C'est un choix opérationnel, pas une obligation légale liée à un outil spécifique.

Elle peut aussi structurer un registre interne des finalités et des durées de conservation, avec une révision périodique liée aux changements de risque du traitement, afin d'avoir des preuves prêtes en cas de contrôle.

07

Clarifications fréquentes sur les principes de l'article 5

• Les principes s'appliquent à tout traitement, indépendamment de la taille de l'entreprise, car l'article 5 n'introduit pas de seuils dimensionnels.
• La responsabilité exige des preuves concrètes : contrats, registres, décisions documentées, pas seulement des politiques génériques.
• Le réexamen de l'analyse d'impact n'est pas automatique chaque année, mais nécessaire lorsque le risque du traitement change.

08

Prochaine étape pratique

Cartographiez dès aujourd'hui les traitements actifs dans l'entreprise en attribuant à chacun un responsable, un sous-traitant (si externe) et une finalité écrite : c'est le premier pas pour rendre la responsabilité vérifiable.