Une cartographie des données personnelles relie une activité métier aux informations utilisées, aux personnes concernées, aux applications, aux destinataires et aux règles de conservation. Elle doit permettre de répondre à une question concrète : où passent les données et qui peut agir sur elles ? Un inventaire de logiciels est utile, mais il ne suffit pas si les exports, échanges manuels et accès des prestataires restent invisibles.
La cartographie sert notamment à préparer et maintenir le registre, examiner les risques et retrouver les données lors d’une demande ou d’un incident. Le RGPD n’impose pas à chaque organisme un diagramme distinct portant ce nom. Il impose en revanche des obligations dont le respect nécessite de comprendre ses traitements. La méthode ci-dessous permet de construire une représentation utilisable et de vérifier qu’elle correspond aux pratiques, avec des sources juridiques consultées le 29 septembre 2026.
Distinguer cartographie, registre et inventaire informatique
Le registre des traitements répond aux exigences de l’article 30 lorsqu’elles s’appliquent. La cartographie rassemble les faits permettant de l’alimenter et peut représenter des dépendances plus détaillées. L’inventaire informatique décrit les applications, équipements et services techniques. Ces documents se complètent : un même outil peut soutenir plusieurs traitements, tandis qu’une activité métier peut utiliser plusieurs outils et dossiers papier.
Le guide CNIL sur le registre des activités de traitement insiste sur la réalité des opérations. Une fiche intitulée seulement « messagerie » ne décrit pas nécessairement les finalités des messages : recrutement, service client ou gestion des fournisseurs. Inversement, créer une fiche de traitement pour chaque fichier individuel peut rendre l’ensemble impossible à maintenir. Le niveau pertinent est celui qui permet de comprendre des activités cohérentes et leurs différences significatives.
La dérogation de l’article 30 pour les organismes de moins de 250 personnes n’est pas une dispense générale. Elle ne couvre pas les activités de traitement qui ne sont pas occasionnelles, qui sont susceptibles de comporter un risque pour les droits et libertés ou qui portent sur des données relevant des articles 9 ou 10. La gestion habituelle des salariés ou des clients ne devient donc pas occasionnelle parce que l’entreprise est petite. L’analyse concerne les activités pertinentes, pas seulement l’effectif.
Pour un responsable de traitement, le registre comprend notamment les identités et coordonnées requises, les finalités, les catégories de personnes et de données, les catégories de destinataires et les transferts concernés. Les délais d’effacement et la description générale des mesures de sécurité sont indiqués dans la mesure du possible. L’article 30 prévoit aussi la documentation des garanties pour le cas particulier de transfert visé à l’article 49, paragraphe 1, deuxième alinéa. Des informations supplémentaires peuvent faciliter le pilotage sans devenir pour autant des champs expressément imposés par cet article.
Ainsi, ajouter la base juridique, le responsable métier, les applications ou la référence d’un contrat est souvent utile. Il faut distinguer ces choix d’organisation de la liste légale minimale. Le registre du sous-traitant obéit par ailleurs à une liste différente : il recense notamment les catégories d’activités réalisées pour chaque responsable, les coordonnées pertinentes, les transferts et, dans la mesure du possible, les mesures générales de sécurité. Une entreprise exerçant les deux rôles doit pouvoir distinguer ces deux ensembles.
Partir des activités et désigner les bons interlocuteurs
Commencez par les services qui collectent ou utilisent les données : ressources humaines, commerce, support, comptabilité, opérations et informatique. Demandez à chacun de décrire une activité de son début à sa fin. L’objectif n’est pas d’obtenir immédiatement une réponse juridique parfaite, mais de comprendre ce qui déclenche la collecte, ce qui est produit, les personnes qui interviennent et les étapes de conservation ou de suppression.
Un entretien devient plus précis lorsqu’il s’appuie sur un exemple de parcours. Pour un recrutement, suivez une candidature depuis le formulaire ou l’e-mail jusqu’à la décision et à l’éventuelle conservation ultérieure. Recherchez les copies transmises à un manager, les notes d’entretien, les accès d’un cabinet et les exports vers un autre outil. Utilisez des exemples fictifs ou masqués lorsque l’examen de données identifiantes n’est pas nécessaire à la compréhension du processus.
Désignez un interlocuteur capable de confirmer la pratique métier et un autre pour les aspects techniques qui lui échappent. Le DPO conseille et aide à structurer l’analyse ; il ne peut pas deviner seul tous les fichiers utilisés par les équipes. Précisez aussi qui décidera d’une correction et qui mettra la fiche à jour. Une cartographie sans responsable de maintenance devient rapidement une photographie dont personne ne connaît les limites.
Priorisez selon les risques et les décisions à prendre. Une application traitant des données de santé, un fichier largement partagé ou un processus modifié récemment peut justifier un examen rapide. Cette priorisation ne signifie pas que les autres traitements sont exemptés de leurs obligations. Elle organise le travail afin que les premières analyses résolvent les incertitudes les plus importantes, plutôt que de consacrer le même effort à chaque élément sans distinction.
Identifier les données sans copier les dossiers eux-mêmes
Pour chaque activité, décrivez les catégories de données nécessaires. La définition des données personnelles inclut les informations se rapportant à une personne identifiée ou identifiable, y compris certains identifiants techniques. Les adresses IP et journaux doivent donc être examinés dans leur contexte. Une colonne contenant un identifiant interne n’est pas automatiquement anonyme parce qu’elle ne comporte pas de nom.
Distinguez les catégories particulières de l’article 9 des autres données pouvant entraîner des conséquences importantes. Les données biométriques relèvent notamment de cette catégorie lorsqu’elles sont traitées pour identifier une personne de manière unique. Une photographie n’est pas systématiquement une donnée biométrique relevant de ce régime. Les condamnations et infractions relèvent de l’article 10. Les données financières ou celles concernant des enfants appellent une appréciation des risques sans être, pour ce seul motif, toutes des données de l’article 9.
La cartographie doit expliquer les catégories et les flux ; elle n’a généralement pas besoin de reproduire les identités de tous les clients. Conserver des extraits réels dans chaque fiche peut multiplier inutilement les copies et les habilitations nécessaires. Définissez le niveau de détail utile : noms de champs, catégories, contraintes d’accès et références techniques. Si un échantillon identifiable est indispensable à une vérification, encadrez son usage et sa durée.
N’oubliez pas les traitements non automatisés entrant dans le champ du RGPD : les données contenues ou destinées à figurer dans un fichier structuré sont concernées. Un classement de dossiers papier par salarié ou client ne disparaît pas de l’analyse parce qu’il est rangé dans une armoire. En revanche, il faut apprécier le champ applicable aux documents manuels au lieu d’affirmer que toute note isolée relève automatiquement des mêmes obligations.
Représenter les flux et les accès réels
Construisez ensuite le parcours entre la collecte, les usages, les destinataires et la fin de conservation. Pour chaque passage, identifiez l’émetteur, le destinataire, la catégorie de données, la fréquence et le moyen utilisé. Une synchronisation automatique, un export mensuel et un accès ponctuel au support ne présentent pas le même fonctionnement. Cette différence permet de définir où une modification, une suppression ou une erreur doit être répercutée.
La cartographie du système d’information peut fournir les applications et dépendances techniques. Ajoutez-y la lecture métier : pourquoi les données circulent-elles et quelle équipe autorise le flux ? La représentation peut rester simple si elle répond à ces questions. Un schéma très détaillé mais incompréhensible pour le service responsable est moins utile qu’une vue synthétique reliée à des fiches précises.
Incluez les prestataires et distinguez leur rôle réel. Un fournisseur de stockage, un professionnel intervenant pour ses propres missions et un partenaire décidant conjointement d’une collecte n’occupent pas nécessairement la même position. Le guide sur la sous-traitance dans le cloud aide à préparer les questions contractuelles. Le contrat signé doit ensuite être comparé avec les accès observés, les sociétés effectivement impliquées et les fonctions activées.
La localisation du stockage ne décrit pas tous les transferts. Une assistance réalisée par une autre entité depuis un pays extérieur à l’Espace économique européen peut constituer une mise à disposition à examiner. Relevez les destinataires, les pays et les transferts ultérieurs, puis rattachez les documents pertinents. La présentation des transferts internationaux fournit des repères généraux ; le modèle d’analyse d’impact du transfert aide à documenter le flux lorsqu’une telle analyse est requise.
Relier chaque usage à sa justification et à sa durée
Une catégorie de données ne possède pas, à elle seule, une base juridique ou une durée universelle. Il faut regarder son usage. La même adresse peut servir à livrer une commande, gérer une réclamation ou envoyer une prospection, avec des conditions différentes. La fiche doit permettre de distinguer ces finalités et leur justification. Le guide des bases juridiques du RGPD aide à préparer cette analyse sans choisir un fondement uniquement parce qu’il est disponible dans un menu.
Pour la conservation, identifiez l’événement déclencheur et ce qui doit se passer à l’échéance. Une mention « trois ans » reste ambiguë si personne ne sait à partir de quelle date compter, si la suppression porte sur toutes les copies ou si un archivage intermédiaire est nécessaire. Les règles de durée de conservation doivent être reliées au contexte et aux obligations applicables, puis traduites en actions compréhensibles pour les équipes techniques.
Un contentieux peut justifier de préserver certaines données nécessaires à la défense de droits. Il ne justifie pas automatiquement la conservation indifférenciée de tous les dossiers ni leur maintien dans tous les usages courants. Cartographiez la décision de blocage, les données concernées, les accès autorisés et le réexamen prévu. Ainsi, l’exception ne devient pas une règle permanente impossible à distinguer du fonctionnement normal.
Cette partie révèle souvent des incohérences utiles : une notice annonce une suppression, un outil archive sans limite et un export reste dans un dossier partagé. L’intérêt de la cartographie est de rendre cette divergence visible afin de la résoudre. Décrivez d’abord la pratique constatée, puis la cible décidée et l’action à réaliser. Présenter immédiatement la cible comme une réalité rendrait le document moins fiable pour les personnes qui doivent s’en servir.
Choisir un outil selon les usages attendus
Un tableur peut convenir à un périmètre limité si les responsabilités, versions et accès sont maîtrisés. Une base structurée peut faciliter les relations entre activités, applications, contrats et destinataires lorsque le périmètre augmente. Le choix dépend notamment du nombre de contributeurs, des changements et de la manière dont les informations doivent être retrouvées. Il n’existe pas de seuil universel à partir duquel un logiciel particulier deviendrait obligatoire.
Les outils de cartographie du SI répondent à des besoins différents. Certains éléments techniques peuvent être détectés ou importés ; la finalité réelle, le rôle juridique et la justification d’un usage demandent néanmoins une validation. Lors d’une démonstration, partez d’un exemple métier et vérifiez comment sont traités une modification de prestataire, un export oublié et la suppression d’une donnée. Une capture d’écran bien remplie ne prouve pas que ces changements seront correctement suivis.
Une exploration technique doit elle-même être encadrée. Précisez les espaces analysés, les habilitations de l’outil, les données éventuellement collectées et les accès aux résultats. Une recherche trop large peut exposer des documents confidentiels à une équipe qui n’a pas besoin de leur contenu. Évaluez donc la méthode de découverte avant de l’utiliser et limitez les informations extraites à ce qui est nécessaire pour comprendre et corriger les traitements.
Le modèle de registre des traitements peut servir de point de départ pour organiser les informations validées. Évitez toutefois de créer plusieurs référentiels concurrents où chaque équipe modifie une version différente. Désignez la source de référence et le mécanisme de synchronisation, même s’il est manuel. Cette décision simple permet de savoir où corriger une information et comment les autres documents seront mis à jour.
Utiliser la cartographie pour les risques et les incidents
La cartographie aide à repérer les traitements qui nécessitent un examen approfondi. Lorsqu’un traitement est susceptible d’engendrer un risque élevé, une analyse d’impact relative à la protection des données est nécessaire selon les conditions de l’article 35. La cartographie fournit les faits de départ, mais ne remplace pas l’analyse de nécessité, de proportionnalité, des risques pour les personnes et des mesures envisagées.
Lors d’un incident, une représentation fiable accélère l’identification des catégories concernées, des accès et des destinataires. Il faut cependant vérifier que la version utilisée correspond à la situation au moment des faits. Une modification récente peut avoir créé un flux absent du schéma. Conservez les informations permettant de distinguer l’état historique et les corrections effectuées après l’incident, sans antidater la documentation.
La notification d’une violation de données relève d’une décision juridique distincte. Le responsable notifie l’autorité sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. Un retard doit être motivé. Toutes les violations de données personnelles doivent être documentées ; la communication aux personnes en cas de risque élevé obéit à l’article 34 et à ses conditions propres.
Une cartographie ne doit donc pas produire automatiquement la conclusion « notification obligatoire » pour chaque panne technique. Elle apporte les éléments factuels nécessaires à la décision. De même, les sanctions et décisions de la CNIL peuvent aider à comprendre certains manquements, mais elles ne fournissent pas une grille universelle de risques pour tous les organismes. La priorité est de relier chaque constat à la réalité de son propre traitement.
Maintenir la représentation et démontrer ce qui a été vérifié
Préparez des déclencheurs de mise à jour : nouvelle application, modification d’une finalité, ajout d’un destinataire, changement de prestataire ou découverte d’une copie non documentée. Une revue périodique reste utile, à une fréquence adaptée à l’activité. Le RGPD n’impose pas à toute cartographie un calendrier trimestriel ou annuel identique. Un changement important ne doit pas attendre la prochaine date de revue simplement parce qu’elle figure dans un planning.
Pour chaque mise à jour, conservez ce qui a changé, la personne ayant confirmé les faits et les actions encore ouvertes. Une date récente ne prouve pas que les destinataires ou les durées ont été vérifiés. Distinguez les informations confirmées, les hypothèses et les questions en attente. Cette transparence permet à un autre collaborateur de reprendre le dossier et de savoir ce qu’il peut utiliser sans nouvelle vérification.
La démarche participe au principe d’accountability lorsqu’elle rend les décisions et leur application démontrables. Le résultat attendu est un ensemble cohérent : des activités compréhensibles, des flux identifiés, des responsabilités attribuées et des écarts traités. Une cartographie devient utile lorsque les équipes savent la consulter pour une décision réelle et savent également comment signaler qu’elle ne correspond plus à leur travail.