En bref
Lors d'un contrôle RGPD, la CNIL ne demande pas si vous êtes conforme : elle demande de le prouver.
Le RGPD (article 5.2) impose au responsable du traitement d'être en mesure de démontrer sa conformité.
Cartographie des données, registre, traçabilité des traitements et preuves des mesures techniques rendent un contrôle gérable.
Un jour, la CNIL pose une question simple : « Pouvez-vous démontrer votre conformité ? »
Ce jour-là, les déclarations d’intention ne suffisent plus.
Il faut des preuves, et elles se préparent bien avant le contrôle.
Contrôle RGPD : comment ça se passe
En France, la CNIL contrôle l’application du RGPD.
Elle peut agir de quatre façons :
- Sur place.
Des agents se rendent dans vos locaux et consultent vos systèmes et documents. - Sur pièces.
Vous recevez un questionnaire et une liste de documents à fournir. - En ligne.
La CNIL vérifie ce qui est accessible depuis Internet : site, formulaires, cookies. - Sur audition.
Vos représentants sont convoqués pour répondre aux questions.
Un contrôle peut être déclenché par une plainte, un signalement, une actualité ou le programme annuel de l’autorité.
S’il révèle des manquements, il peut déboucher sur une mise en demeure ou une sanction financière.
Ce que l’autorité demande concrètement
Les questions sont factuelles :
- Où sont les données personnelles ?
Bases de production, mais aussi copies de test, exports, fichiers partagés. - Comment les identifiez-vous ?
Par quelle méthode, et sur quel périmètre. - Qui y accède ?
Équipes internes, prestataires, partenaires. - Comment circulent-elles ?
Flux internes, transferts vers des sous-traitants, exports. - Quelles mesures les protègent ?
Sécurité, minimisation, anonymisation des copies.
Une réponse du type « nous respectons le RGPD » ne répond à aucune de ces questions.
Le principe de responsabilité : à vous de prouver
L’article 5.2 du RGPD pose le principe de responsabilité, souvent appelé accountability.
Le responsable du traitement doit respecter les principes du règlement et être en mesure de démontrer qu’il les respecte.
La charge de la preuve vous revient.
Ce principe se décline dans plusieurs obligations du RGPD :
- Tenir un registre des activités de traitement (article 30).
Il décrit les finalités, les catégories de données, les destinataires et, dans la mesure du possible, les mesures de sécurité. - Encadrer les sous-traitants (article 28).
Par un contrat qui fixe notamment l’objet, la durée, la finalité et les obligations de sécurité. - Mettre en place des mesures de sécurité adaptées (article 32).
Y compris hors de la production. - Documenter les violations de données (article 33).
Leurs faits, leurs effets et les mesures prises.
L’audit RGPD technique : vérifier avant qu’on vérifie pour vous
Un audit technique examine comment les données sont réellement gérées, pas comment elles sont censées l’être.
- Cartographier les données personnelles.
Identifier les bases, les dossiers et les colonnes qui contiennent des personnes, y compris les champs libres comme les commentaires ou les notes. Voir identifier les données sensibles sans être expert. - Vérifier la minimisation.
Les exports, les copies et les fichiers transmis ne doivent contenir que les données nécessaires à leur finalité. - Examiner les environnements secondaires.
Serveurs de staging, bases de test, dumps SQL, exports CSV, copies locales, jeux de données pour l’IA : ils contiennent souvent des données réelles, moins protégées que la production. Voir anonymiser ses environnements de test. - Contrôler les échanges avec les prestataires.
Ce qui leur est transmis, sous quelle forme, et ce qu’ils en gardent. Voir prestataires et fuites de données. - Corriger, puis documenter.
Chaque correction (anonymisation d’une copie, réduction d’un export) devient une preuve.
La traçabilité des traitements : ce qui a été fait, comment et pourquoi
La traçabilité consiste à pouvoir retracer les opérations appliquées aux données.
Elle répond à cinq questions :
- Quoi ?
Quelles données, quelles colonnes, quels fichiers ont été traités. - Comment ?
Avec quelle méthode et quelle configuration. - Quand ?
À quelle date, et à chaque passage pour un traitement répété. - Qui ?
Quelle équipe ou quel utilisateur a lancé le traitement. - Pourquoi ?
Pour quelle finalité : un test, une analyse, un envoi à un prestataire.
Exemple fréquent : une base a été anonymisée avant d’être confiée à un prestataire.
Quelques mois plus tard, un audit demande quelles colonnes ont été traitées et avec quelle méthode.
Sans trace formalisée, la réponse repose sur la mémoire de quelqu’un.
Avec un rapport conservé, elle tient en un document.
Les preuves à garder
- La cartographie des données personnelles.
Où elles se trouvent, y compris dans les copies et les exports. - Le registre des activités de traitement.
À jour, avec les mesures de sécurité décrites. - Les contrats de sous-traitance.
Un par prestataire qui traite des données pour votre compte. - Les preuves des mesures techniques.
Rapports d’anonymisation, règles appliquées, configurations utilisées. - Le registre des violations.
Y compris celles qui n’ont pas été notifiées. - L’historique des traitements répétés.
Une preuve par passage, pas seulement pour le premier.
Une conformité crédible est celle qu’on peut montrer, pas seulement déclarer.
Avec NymData
NymData détecte et anonymise les données personnelles de vos fichiers et de vos bases, sur vos serveurs, et documente chaque traitement :
- Une cartographie sans rien modifier.
Analysez un dossier ou une base et consultez le rapport des données trouvées, avant toute action. - Un rapport d’audit pour chaque traitement.
Ce qui a été détecté et ce qui a été traité : une preuve prête à présenter. Voir le rapport de conformité. - Une preuve à chaque passage.
Pour un traitement planifié, chaque exécution produit son propre rapport. - Les originaux intacts.
Les copies anonymisées sont écrites à part ; la source n’est jamais modifiée. - Des données qui ne sortent pas.
Le traitement a lieu sur vos serveurs : voir la sécurité de NymData.
Questions fréquentes
Qu'est-ce qu'un contrôle RGPD ?
C'est une vérification menée par une autorité de protection des données, comme la CNIL en France, pour évaluer si un organisme traite les données personnelles conformément au RGPD.
Il peut être déclenché par une plainte, un signalement, une actualité ou le programme annuel de contrôles de l'autorité.
Que demande la CNIL lors d'un contrôle ?
Des faits : où sont les données personnelles, qui y accède, comment elles circulent, quelles mesures les protègent.
Et des documents : registre des traitements, contrats avec les sous-traitants, preuves des mesures de sécurité et de minimisation.
Qu'est-ce que le principe de responsabilité (accountability) du RGPD ?
C'est l'article 5.2 du RGPD.
Le responsable du traitement doit respecter les principes du règlement et être en mesure de démontrer qu'il les respecte.
Qu'est-ce qu'un audit RGPD technique ?
C'est la vérification concrète de la façon dont les données personnelles sont identifiées, stockées, protégées, minimisées et tracées dans les systèmes.
Il porte sur la production, mais aussi sur les copies de test, les exports et les données transmises à des tiers.
Les logs techniques suffisent-ils à prouver la traçabilité des traitements ?
Non.
Ils sont utiles, mais une preuve RGPD doit aussi documenter la méthode appliquée, les données concernées et le contexte du traitement.
L'anonymisation aide-t-elle en cas de contrôle ?
Oui, si elle est documentée.
Anonymiser les copies secondaires réduit l'exposition, et le rapport de chaque traitement montre ce qui a été fait.