Le risque s’apprécie dans le registre, et chaque fonction est à un mot de distance

Quatre fonctions manquantes, dont trois existaient

Une DPO a utilisé la plateforme quelques jours et a envoyé une liste de choses qui, selon elle, n’existaient pas : le registre des violations, l’appréciation du risque, le dépôt des documents et les tarifs. Trois de ces quatre étaient là depuis des mois. Les tarifs figurent sur une page accessible depuis le menu ; les violations et les documents se trouvent dans la fiche du client, ce qui est la bonne place, car une violation concerne un responsable de traitement et non le cabinet.

On pouvait répondre en expliquant où elles sont. C’aurait été la mauvaise réponse. Si une professionnelle expérimentée cherche et ne trouve pas, le problème n’est pas la professionnelle : c’est que les rubriques imbriquées dans un client n’apparaissent nulle part tant qu’on n’ouvre pas un client. Il en est donc sorti deux choses : la fonction qui manquait réellement, et un moyen de trouver toutes les autres.

Le risque de l’art. 32, dans le registre où il sert

L’art. 32, § 1, exige des mesures appropriées « compte tenu » du risque « dont le degré de probabilité et de gravité varie », et le § 2 nomme les événements à considérer : destruction, perte, altération, divulgation ou accès non autorisés. Jusqu’à hier, le registre recueillait les mesures sans dire contre quoi elles protégeaient. Désormais chaque traitement comporte trois lignes — accès illégitime aux données, modification non souhaitée, perte ou indisponibilité — et pour chacune on indique sa probabilité et sa gravité, sur quatre degrés : négligeable, limité, significatif, maximal.

• La synthèse retient le degré le plus élevé des trois dimensions, non la moyenne : un risque maximal de perte des données ne se compense pas par un risque négligeable de modification, et une moyenne le masquerait.
• Le risque résiduel — celui qui subsiste après les mesures — ne se remplit que si vous le souhaitez : il est derrière une case, car le déclarer sans l’avoir vraiment estimé est pire que de le laisser vide.
• Si le risque ressort élevé et qu’aucune mesure n’a été indiquée pour le traitement, le formulaire le signale. Il ne vous bloque pas : il le dit.
• Lorsque le risque est significatif ou maximal, un renvoi à l’analyse d’impact de l’art. 35 apparaît, et l’appréciation déjà faite est reprise par le module AIPD au lieu d’être ressaisie.

Un mot, et vous y êtes

Ctrl K, ou Cmd K sur Mac, ouvre une fenêtre de recherche par-dessus n’importe quelle page ; il y a aussi un bouton en haut du menu, et un autre dans la barre supérieure sur téléphone. On tape un mot quelconque et les entrées correspondantes apparaissent, classées, avec une ligne en dessous indiquant où elles se trouvent. Les destinations sont au nombre de 29 : 19 rubriques du menu et 10 thèmes situés dans la fiche du client. Lorsque vous choisissez l’un de ces dix, la recherche demande pour quel client et vous y conduit ; s’il n’y a qu’un client, elle ne demande rien.

• Elle cherche l’intitulé dans les neuf langues, pas seulement dans la langue active : qui a appris le métier sur des textes anglais tape « breach » et trouve les violations même avec l’interface en français.
• Elle comprend les numéros d’article et les sigles : « art. 30 », « art. 33 », « 72 », « AIPD », « DSAR », « CCT », « RoPA », « Schrems ».
• Elle ne se froisse ni du singulier ni du pluriel : « violation » trouve « Violations de données ».
• Elle trouve aussi les clients par nom et par secteur.
• Elle n’ajoute pas une seule lecture à la base : la liste des clients est celle que le menu conserve déjà en mémoire pour compter les échéances.

Les deux ajouts sont nés d’une période d’essai et d’une personne qui a pris la peine d’écrire ce qui n’allait pas. Si quelque chose vous ralentit au travail, le dire sert vraiment.