En bref
Trente et une rubriques documentaires deviennent soixante-dix-sept, réparties en six familles : informer, désigner, enregistrer, évaluer, réagir, démontrer. La page de l'archive a été redessinée : au-dessus de chaque famille figure une mosaïque qui est le portrait de ce client, et la famille la moins couverte se promeut d'elle-même en tête.
D'où cela vient
Une archive de trente et une cases paraît complète jusqu'à l'usage sur un cas réel. On s'aperçoit alors que les consentements recueillis finissent dans « Autres documents », que l'accord syndical sur la vidéosurveillance n'a pas de place propre, et que l'analyse d'impact des transferts — celle qui accompagne chaque clause contractuelle type depuis Schrems II — n'est nulle part. « Autres documents » est la case où meurt tout ce que le concepteur n'a pas prévu.
Les quatre qui pesaient le plus
- Décisions automatisées et profilage (art. 22). Avec le scoring, les filtres de CV et les dispositifs antifraude, c'est partout, et l'amende de huit cent vingt-cinq millions prononcée ces jours-ci aux Pays-Bas porte exactement là-dessus. Il n'y avait pas de case.
- Traitements biométriques. Ils appellent une analyse propre et finissaient dans « Mesures de sécurité », où personne ne les cherche.
- Registre des accès et des journaux. C'est la première preuve demandée quand un accès indu est contesté, et c'est aussi l'obligation qui pèse sur les administrateurs système.
- Anonymisation et pseudonymisation. Presque toujours affirmée, presque jamais documentée : c'est le point sur lequel les autorités ont démonté le plus de défenses ces deux dernières années.
Et ensuite le reste
Accords syndicaux et autorisations de contrôle à distance — sans eux, vidéosurveillance et géolocalisation sont illicites en amont, avant même le RGPD. Registre des violations de l'art. 33, § 5, obligation autonome qui ne se réduit pas au traitement d'un incident. Moyens et indépendance du DPO au titre de l'art. 38, première question de tout examen de la fonction. Consentements recueillis et retraits, qui constituent la preuve exigée par l'art. 7, § 1. Et encore : information des candidats, des mineurs, de l'auteur du signalement ; administrateurs système ; représentant dans l'Union ; cartographie des flux ; classification des données ; tests de vulnérabilité ; protection dès la conception dans les projets ; plan de réponse aux incidents ; communications aux personnes concernées de l'art. 34 ; police cyber ; rapport périodique du DPO.
Pourquoi la page a été refaite
Soixante-dix-sept rectangles en grille font un mur, pas une liste. Les rubriques sont désormais dans six familles correspondant aux six choses qu'un responsable doit savoir démontrer, et au-dessus de chacune il y a une mosaïque : une tuile par rubrique, pleine quand elle contient des documents. Ce n'est pas une illustration tirée d'une banque d'images : c'est le portrait de ce client, et il change à mesure qu'on travaille. Une photo d'archive serait identique pour tous et ne dirait rien.
La famille la moins couverte, ce n'est pas nous qui la choisissons : c'est le code, d'après la couverture, et elle monte en tête avec le fond plein de sa couleur et un bouton qui ouvre directement la première rubrique vide. Les cinq autres restent monochromes à dessein. Six couleurs pour six familles étaient six couleurs qui ne disaient rien ; la couleur n'est utilisée que par une seule chose par écran, et c'est pour cela qu'on la voit.
Une chose à savoir avant de l'ouvrir
Sur un client nouveau, la mosaïque sera presque entièrement vide et les six fiches diront toutes « vide ». C'est honnête et c'est inconfortable. Les soixante-dix-sept rubriques ne servent pas à tout le monde : un cabinet médical et une agence immobilière en utilisent ensemble moins de vingt. Les modèles sectoriels existent justement pour partir des rubriques qui concernent ce client plutôt que de toutes.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
