L’« accountability » désigne la responsabilité du responsable de traitement de respecter les principes du RGPD et d’être en mesure de montrer comment il les respecte. L’article 5, paragraphe 2, du règlement énonce cette exigence pour les principes du paragraphe 1. L’article 24 demande des mesures techniques et organisationnelles adaptées au traitement et aux risques, ainsi que la capacité de démontrer que le traitement est conforme. Ce n’est ni la promesse qu’un dossier documentaire efface un manquement réel, ni une inversion générale de la charge de prouver toute infraction lors d’une procédure de sanction.
La question pratique est simple : si la personne qui a conçu le traitement quitte l’organisation, un autre responsable peut-il comprendre pourquoi les données sont collectées, qui y accède, quand elles sont effacées et comment les demandes sont traitées ? Une politique générique ne suffit pas à répondre. Il faut des décisions reliées à l’activité réelle, des mesures qui fonctionnent et des éléments permettant de les vérifier. La CNIL présente les outils de la conformité comme un ensemble dynamique, et non comme une liste de documents à produire une fois pour toutes.
Distinguer les articles 5(2), 24 et 30
L’article 5(2) porte sur le respect démontrable des principes : licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, conservation limitée, intégrité et confidentialité. Pour une finalité de recrutement, pouvoir nommer la base juridique est utile, mais il faut aussi vérifier que les champs demandés et la durée de conservation servent cette finalité. L’aide au choix des bases légales ne dispense pas d’examiner les autres principes. Une justification écrite ne rend pas une collecte excessive nécessaire.
L’article 24 demande au responsable, compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, de mettre en œuvre des mesures appropriées, de les réexaminer et de les actualiser si nécessaire. Des politiques de protection des données peuvent en faire partie lorsque c’est proportionné. Ce texte n’impose pas le même manuel, la même fréquence d’audit ou le même logiciel à tous les organismes. Le responsable doit pouvoir expliquer pourquoi les mesures choisies répondent à ses traitements et montrer qu’elles existent dans la pratique.
L’article 30 impose, sous ses conditions, un registre des activités de traitement au responsable et un registre distinct des catégories d’activités effectuées pour le compte de responsables au sous-traitant. Son paragraphe 5 prévoit une exception pour les structures de moins de 250 employés, mais celle-ci ne joue pas si le traitement peut comporter un risque, n’est pas occasionnel ou concerne les données des articles 9 ou 10. Le registre RGPD participe à la démonstration, sans être l’unique instrument de l’article 5(2). L’absence d’une pièce requise peut constituer un manquement à la disposition correspondante; il faut éviter de présenter tout document interne manquant comme une infraction autonome identique.
Partir d’un traitement réel
Choisissez une activité suffisamment précise : gestion des candidatures, prise de rendez-vous médical, support client ou contrôle d’accès à un bâtiment. Décrivez la source des données, les personnes concernées, les finalités, les utilisateurs, les prestataires, les transferts, la conservation et les sorties du système. Demandez à l’équipe opérationnelle de montrer le formulaire, l’application et une copie ou un export ordinaire. Les écarts apparaissent souvent là : une ancienne case obligatoire, un outil ajouté sans mise à jour du registre, ou une boîte partagée dont personne ne connaît les accès.
Pour chaque finalité, reliez la base juridique à une nécessité concrète. Le contrat conclu avec l’employeur d’un contact professionnel ne signifie pas automatiquement que tous les traitements des données de ce contact reposent sur l’article 6(1)(b). Une information disponible sur le site ne prouve pas qu’elle a été donnée au bon moment à la bonne personne. Le guide du droit à l’information aide à vérifier ce point pour chaque canal de collecte. Une durée inscrite dans un tableau ne prouve pas qu’une suppression s’exécute. La démonstration demande un lien entre la décision juridique et le comportement du système.
Le modèle de registre des traitements peut servir de structure initiale. Ne remplissez pas une ligne par outil si plusieurs outils participent à la même finalité, et ne fusionnez pas des finalités différentes parce qu’elles utilisent la même adresse électronique. Indiquez la dernière vérification et son auteur, mais conservez surtout l’information sur ce qui a changé. Un registre daté d’hier et recopié sans contrôle peut être moins fiable qu’un registre plus ancien accompagné de modifications tracées et de preuves récentes.
Choisir une preuve adaptée à chaque obligation
Pour l’information des personnes, gardez le texte effectivement utilisé, son emplacement et la période pendant laquelle cette version était présentée. Pour un consentement, conservez la formulation proposée, l’action positive et une trace proportionnée de la décision; ne supposez pas qu’une case cochée par défaut apporte une preuve valable. Pour la sécurité, reliez la mesure annoncée à une configuration, un responsable et un essai. Pour les droits, conservez la date de réception, la recherche effectuée, la décision, la réponse et l’exécution chez les prestataires concernés. La procédure d’exercice des droits peut structurer cette vérification sans remplacer l’examen de la demande concrète.
La preuve n’a pas besoin d’être une copie intégrale des données de chaque personne. Une capture limitée de configuration, un exemple anonymisé, un journal d’opération ou un résultat d’essai peuvent suffire selon la question. Évitez de créer un nouveau fichier sensible uniquement pour démontrer que vous protégez les données. Définissez qui peut consulter le dossier de conformité et quand les pièces n’ont plus d’utilité. La documentation elle-même peut contenir des données personnelles et doit donc être sécurisée et conservée selon une finalité justifiée.
Une décision difficile mérite une note courte : faits connus, options envisagées, disposition applicable, raison du choix, mesure compensatoire, personne responsable et événement qui déclenchera une révision. Si un champ reste nécessaire uniquement pendant la vérification d’identité, indiquez quand il est retiré du dossier courant. Si un prestataire ne peut pas supprimer une copie immédiatement, documentez la raison et les limites de l’accès. Une liste de « points à traiter » sans propriétaire ni échéance est une alerte, pas une preuve de conformité.
Utiliser le registre comme instrument de contrôle
La CNIL explique le rôle du registre comme recensement et analyse des opérations. Pour le responsable, l’article 30 prévoit notamment finalités, catégories de personnes et de données, destinataires, transferts, délais envisagés d’effacement lorsque c’est possible et description générale des mesures de sécurité lorsque c’est possible. La base juridique est souvent ajoutée comme renseignement utile de pilotage, mais elle n’appartient pas à la liste littérale des champs du paragraphe 1. Gardez cette distinction lorsque vous présentez un modèle comme « obligatoire ».
Le registre doit refléter la réalité. Confrontez-le au formulaire public, aux contrats de fournisseurs, aux applications payées, aux traitements RH et aux rapports d’incident. Un logiciel peut apparaître dans les factures sans contenir de données personnelles; vérifiez plutôt que de l’ajouter mécaniquement. À l’inverse, un tableur local peut traiter des données sensibles sans figurer dans le catalogue informatique. La comparaison permet de corriger le traitement, pas seulement la ligne du registre. La méthode d’audit RGPD aide à organiser cet examen par échantillons utiles.
Un sous-traitant doit distinguer son registre de catégories de traitements, prévu à l’article 30(2), des registres de ses clients responsables. L’article 28(3)(h) lui impose de mettre à disposition du responsable les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 et permettre les audits correspondants. Cela ne signifie pas qu’il reprend toutes les décisions de finalité du responsable. Ses propres activités, par exemple la gestion de son personnel, relèvent aussi de sa responsabilité distincte.
Vérifier si une AIPD est requise
L’analyse d’impact relative à la protection des données est exigée lorsqu’un type de traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, selon l’article 35 et les listes applicables de l’autorité. Elle décrit les opérations et finalités, examine nécessité et proportionnalité, apprécie les risques et prévoit des mesures pour les traiter. La CNIL souligne sa fonction de responsabilisation. L’AIPD doit être faite avant le traitement concerné et revue lorsque le risque change; une ancienne analyse ne couvre pas automatiquement une nouvelle technologie ou une nouvelle population.
Tout traitement n’exige pas une AIPD. La décision de ne pas en réaliser une peut néanmoins être expliquée lorsque le cas présente des facteurs de risque. Si le projet est modifié pour réduire les données, restreindre les accès ou modifier la finalité, notez la version évaluée. Si un risque élevé demeure malgré les mesures envisagées, l’article 36 peut exiger une consultation préalable de la CNIL. Une AIPD « complétée » ne vaut pas autorisation de lancer un traitement qui reste problématique.
Lorsqu’un traitement utilise des données de santé ou d’autres catégories spéciales, l’article 9 demande une condition spécifique en plus de la base de l’article 6. Une AIPD et un registre ne remplacent pas cette condition. De même, une décision sur la conservation doit suivre la finalité et les obligations légales particulières. La méthode pour définir les durées aide à distinguer usage courant, archivage nécessaire et effacement. Une durée « cinq ans pour tout » ne découle pas du principe de responsabilité.
Former et revoir selon le risque et les changements
Le personnel doit comprendre les gestes correspondant à son rôle : reconnaître une demande d’accès, ne pas transmettre un dossier au mauvais destinataire, signaler une violation et appliquer une règle d’effacement. Lorsque l’organisme a désigné un délégué à la protection des données, l’article 39(1)(b) inclut dans ses missions le contrôle de la sensibilisation et de la formation du personnel participant aux traitements. Le RGPD ne fixe pas, pour tous les organismes, une formation annuelle obligatoire. Choisissez une fréquence et un contenu adaptés aux risques, aux nouveaux arrivants et aux changements de processus, puis vérifiez que les instructions sont comprises.
Une révision peut être déclenchée par un nouveau prestataire, un formulaire modifié, une fonction d’intelligence artificielle, une violation de données ou des demandes répétées de personnes. Répartissez les responsabilités : le métier décrit l’usage réel, l’informatique confirme les réglages, le juridique analyse les bases et exceptions, le DPO conseille et contrôle lorsque désigné, et le responsable décide. Si une mesure promise n’est pas encore en place, marquez-la comme projet avec un propriétaire et une date. Ne décrivez pas une intention comme un contrôle effectif.
L’information sur le rôle du DPO peut aider à organiser ce conseil sans présumer que tout organisme doit en désigner un. Dans une petite structure sans DPO obligatoire, une personne identifiée peut coordonner les informations; la responsabilité juridique du responsable de traitement ne disparaît pas. Dans une grande structure, la multiplication des tableaux de bord n’est pas une preuve si les propriétaires des activités ne confirment plus les données enregistrées.
Préparer un contrôle sans inventer une présomption
La capacité de démontrer la conformité signifie pouvoir présenter des décisions et mesures pertinentes. Elle ne signifie pas que la CNIL peut sanctionner sans établir les faits constitutifs d’un manquement selon la procédure applicable. Si une question porte sur la durée de conservation, fournissez la finalité, la règle, sa justification et un exemple du fonctionnement de l’effacement. Si elle porte sur un accès excessif, fournissez le modèle de rôles, les exceptions et les résultats d’une vérification. Répondez précisément; un dossier volumineux mais sans lien avec la question ne compense pas une pratique contraire au RGPD.
Les sanctions doivent être examinées à partir de décisions authentiques et des articles effectivement retenus. L’ancienne version de cette page attribuait à plusieurs affaires des constats documentaires sans démonstration décision par décision. Une analyse des décisions CNIL doit indiquer sa date et sa source avant de servir d’exemple. L’article 83(2)(f) concerne la coopération avec l’autorité pour remédier à l’infraction et en atténuer les effets; il n’offre pas une réduction automatique parce que l’organisme possède des procédures écrites. La documentation est surtout utile parce qu’elle aide à prévenir les erreurs et à établir les faits exacts.
Une revue concrète en quatre questions
Prenez une activité dans le registre et demandez à son responsable de montrer où les données entrent, qui les voit, ce qui déclenche leur effacement et comment une personne peut exercer ses droits. Comparez chaque réponse aux informations données au public, aux contrats et aux réglages. Notez les différences observées, leur risque et l’action à entreprendre. Faites refaire l’exercice sur une activité plus complexe, avec un prestataire ou un transfert. Si une autre personne peut retrouver les preuves et comprendre les décisions, la documentation remplit une fonction réelle.
L’accountability est un travail continu de choix, de mise en œuvre et de vérification. Le registre, l’AIPD lorsqu’elle est requise, les clauses, les informations, les essais et les comptes rendus sont des moyens de ce travail. Aucun n’est une dispense de respecter les principes. Lisez les articles 5 et 24 du RGPD et les étapes de conformité proposées par la CNIL pour relier la règle à vos activités, puis réexaminez les preuves quand celles-ci changent.