Une entreprise reçoit une demande d’effacement. Le service client clôture le dossier, l’administrateur supprime le compte et le prestataire confirme avoir pris en charge la demande. Quelques mois plus tard, une question apparaît : les données ont-elles également été supprimées des applications connectées, des exports, des sauvegardes et des environnements de test ?
La procédure existe. Plusieurs interventions ont été réalisées. Pourtant, reconstituer leur périmètre et vérifier leur résultat reste difficile. Cet exemple illustre une faiblesse fréquente : l’organisation dispose d’informations sur sa conformité, mais peine à les relier pour établir ce qui s’est réellement passé.
Avec les services cloud, les logiciels SaaS, les échanges par API et les usages de l’intelligence artificielle, cette difficulté prend une autre dimension. Chaque composant conserve une partie de l’historique. Aucun ne décrit nécessairement l’ensemble du traitement.
La capacité à démontrer sa conformité dépend alors de la continuité entre les décisions prises, les opérations effectuées et les éléments conservés pour les justifier.
L’article 24 du RGPD impose au responsable du traitement de mettre en œuvre des mesures appropriées et de pouvoir démontrer que les traitements respectent le règlement. Il prévoit également leur réexamen et leur actualisation lorsque cela est nécessaire. Un dossier constitué à une date donnée ne suffit donc pas à rendre compte, durablement, d’un environnement qui évolue.
Une nouvelle application, un changement de prestataire ou l’ouverture d’un accès peuvent modifier les conditions dans lesquelles les données sont utilisées. La documentation doit permettre de comprendre ces changements et les mesures qui les accompagnent.
La première étape consiste à partir des exigences à démontrer. Pour chaque traitement, l’organisme doit déterminer les questions auxquelles il devra pouvoir répondre : pourquoi ces données sont-elles nécessaires ? Qui peut y accéder ? Quels prestataires interviennent ? Comment les durées de conservation sont-elles appliquées ? Que devient une demande d’exercice de droits lorsqu’elle traverse plusieurs outils ?
Cette démarche permet de sélectionner des éléments utiles. Pour justifier la maîtrise des habilitations, par exemple, une politique d’accès apporte un cadre. Les validations d’attribution, les revues périodiques et les traces de retrait permettent d’en examiner l’application. Leur rapprochement rend visibles les éventuels écarts entre la règle et la pratique.
Un document décrit une mesure. Sa mise en œuvre doit pouvoir être vérifiée.
La même logique s’applique aux relations avec les sous-traitants. Un contrat renseigne sur les engagements convenus, mais il ne permet pas, à lui seul, d’établir comment une instruction particulière a été exécutée. Selon le contexte, des comptes rendus de contrôle, des échanges datés, des attestations circonstanciées ou des résultats de tests peuvent compléter le dossier.
Ces éléments doivent rester interprétables. Une capture d’écran sans date, un export dont le périmètre est inconnu ou une validation attribuée à un compte partagé soulèvent des difficultés. Pour être exploitable, une pièce doit pouvoir être rattachée à une source, à une période, à une opération et à un responsable identifié. Son intégrité et ses conditions de conservation comptent également.
La journalisation contribue à cette traçabilité. Elle peut aider à comprendre les accès et les opérations réalisés dans une application, puis à examiner un incident ou une anomalie. Elle doit toutefois répondre à des objectifs définis et respecter un équilibre entre sécurité, protection des utilisateurs et durée de conservation. La CNIL rappelle notamment les risques liés à une conservation excessive et au détournement des traces vers d’autres usages.
Accumuler des journaux sans organiser leur exploitation laisse donc une partie du problème intacte. L’organisme doit savoir qui les examine, dans quelles circonstances et comment les constats conduisent à une action.
L’intelligence artificielle ajoute des questions propres à ses usages. Selon le système, il peut être nécessaire de retrouver sa version, les paramètres pertinents, les documents mobilisés ou l’intervention d’une personne dans la décision. Ces éléments doivent être sélectionnés en fonction des risques et des obligations applicables.
Le règlement européen sur l’intelligence artificielle prévoit ainsi, à son article 12, des capacités d’enregistrement automatique des événements pour les systèmes d’IA à haut risque. Cette exigence concerne une catégorie précise de systèmes. Son application doit être appréciée selon la qualification du dispositif, le rôle de l’organisme et le calendrier réglementaire applicable.
Dans ce contexte, un outil de pilotage peut faciliter l’organisation du travail. DPO SUITE présente notamment des fonctions de gestion des traitements, des sous-traitants, des logiciels et des infrastructures, ainsi que des audits, des analyses d’impact et du suivi des demandes de droits. Ces fonctions fournissent un cadre pour structurer les informations nécessaires au suivi de la conformité.
L’enjeu, pour l’organisme qui l’utilise, consiste à associer cette documentation à des éléments vérifiables : une mesure décidée, un responsable désigné, une échéance, un résultat de contrôle et une pièce justificative lorsque cela est pertinent. Les conditions générales de DPO SUITE précisent d’ailleurs que son utilisation ne garantit pas, à elle seule, la conformité, celle-ci dépendant des informations renseignées et des mesures effectivement mises en œuvre.
La qualité du dispositif se mesure ensuite sur des cas concrets. L’équipe peut-elle retrouver les validations d’accès d’un salarié ayant changé de fonction ? Peut-elle expliquer le traitement d’une demande d’effacement dans les applications concernées ? Peut-elle identifier la décision ayant autorisé un nouvel usage de données ?
Ces vérifications révèlent les ruptures : une responsabilité mal définie, une confirmation manquante, une procédure jamais testée ou une preuve devenue inaccessible après un changement de fournisseur.
Prouver sa conformité exige donc un travail continu de coordination. Le DPO apporte son analyse, les métiers expliquent les usages, les équipes techniques rendent les opérations vérifiables et la direction arbitre les moyens. Lorsque ces contributions sont reliées, la conformité devient plus facile à examiner, à corriger et à défendre dans la durée.
