TL;DR
Dans le registre des traitements : catalogue de 35 mesures de l’art. 32 à cocher et compléter, 26 types de données sous les six catégories juridiques, et pays de destination choisi dans une liste qui déclare sa situation au regard du chapitre V. Aucune des trois ne décide à votre place.
Le problème : la même phrase, sur chaque traitement
Qui tient un registre de l’art. 30 pour plusieurs responsables connaît la scène : le champ des mesures de sécurité est une case vide, et l’on y réécrit chaque fois la même chose. Contrôle des accès, sauvegardes, antivirus. Puis le traitement suivant, et l’on recommence. Ce n’est pas qu’une question de temps : une mesure écrite à la hâte est mal écrite, et lors d’un contrôle une liste hétérogène entre traitements d’un même responsable est la première chose qui se voit.
Un catalogue qui propose, et qui ne ferme rien
Les 35 mesures sont réparties en neuf groupes rattachés à l’article qui les nomme : contrôle des accès, chiffrement et pseudonymisation, sauvegardes, continuité, protection du réseau, appareils, mesures organisationnelles, journalisation, vérification et effacement. On les coche, elles deviennent des étiquettes sur la fiche, et le champ de texte reste à côté pour ce qui diffère dans le cas concret. Aucun registre déjà rempli ne perd une ligne.
- Les propositions en tête viennent du traitement lui-même : les catégories particulières font remonter le chiffrement au repos, la journalisation des accès et l’authentification forte ; un transfert hors UE appelle les mesures supplémentaires discutées après Schrems II.
- Parmi les entrées figure la vérification périodique de l’efficacité, exigée par l’art. 32, § 1, d) et que presque aucun registre ne mentionne.
- L’export CSV réunit les mesures cochées et le texte libre : celui qui ouvre le fichier voit ce qui est à l’écran.
Catégories de données : les six juridiques restent, le détail arrive dessous
Les six cases — données courantes, catégories particulières, condamnations, mineurs, biométriques, génétiques — disent à quel titre les données sont traitées, et servent à rattacher la base de l’art. 6 et la condition de l’art. 9, § 2. Elles ne disent pas quelles données. Sous chacune figurent désormais 26 types descriptifs, plus un champ pour les siens. Cela accélère la saisie, mais surtout cela aide à répondre à la personne concernée qui demande quelles données la concernent, comme l’exige l’art. 15, § 1, b).
« Les États-Unis sont adéquats » est la phrase qui fait le plus de dégâts
Dans la fiche du transfert — et dans celle du sous-traitant — le pays n’est plus une case de texte. On le choisit dans une liste regroupée par situation, et ce que cela implique s’affiche en dessous. Le cas qui compte est l’adéquation partielle : la décision sur les États-Unis ne couvre que les organisations certifiées au titre du Data Privacy Framework, pour les traitements déclarés ; celle sur le Canada, les seules organisations commerciales soumises à la LPRPDE. En dehors, un outil de l’art. 46 avec analyse d’impact du transfert est nécessaire.
Ce que le programme ne fait pas
Il n’établit pas si les mesures sont appropriées : le caractère approprié dépend du risque, de l’état de l’art et des coûts (art. 32, § 1), et cette appréciation appartient à qui signe. Il ne déduit pas la qualification juridique des données : si vous indiquez des données de santé sans avoir coché « catégories particulières », le formulaire le signale et s’arrête là. Et il ne remplace pas la liste de la Commission sur les décisions d’adéquation, qui reste la source à consulter : les cas en mouvement — Royaume-Uni et États-Unis — portent une marque qui le rappelle.
Les trois modifications viennent d’un retour reçu pendant une période d’essai. Si quelque chose vous ralentit en utilisant la plateforme, le dire sert : c’est ainsi que les choses avancent.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
