Checklist RGPD : 8 preuves à réunir avant un contrôle
Juridique & conformité
Un contrôle de la CNIL ne se prépare pas en rassemblant des documents au dernier moment. Pour une petite entreprise, l’enjeu est de pouvoir expliquer clairement quelles données personnelles sont utilisées, pourquoi, par qui et avec quelles garanties. Une conformité crédible repose autant sur des pratiques effectives que sur des preuves accessibles et à jour.
Voici huit éléments à réunir pour structurer votre dossier. Ils vous aideront à repérer les écarts, à organiser vos responsabilités et à répondre plus sereinement aux demandes de l’autorité. Le contenu doit être adapté à vos traitements : une boutique en ligne, un cabinet de conseil et une association n’ont pas les mêmes risques.
Les huit preuves à vérifier
1. Un registre des traitements exploitable
Le registre décrit les traitements de données dont votre entreprise est responsable : gestion des clients, recrutement, facturation, prospection ou vidéosurveillance, par exemple. Pour chacun, consignez les finalités, les catégories de personnes et de données, les destinataires, les durées de conservation et, le cas échéant, les transferts hors de l’Union européenne.
Il ne suffit pas d’avoir un tableau vierge ou un modèle téléchargé. Vérifiez que les activités réelles y figurent et que les personnes capables de le mettre à jour sont identifiées.
2. La justification de chaque finalité et base légale
Pour chaque traitement, documentez sa finalité et la base légale retenue : exécution d’un contrat, obligation légale, intérêt légitime, consentement ou autre fondement applicable. La base doit correspondre à la situation concrète, et non être choisie par défaut.
Si vous invoquez l’intérêt légitime, conservez l’analyse qui montre que vos intérêts ne prévalent pas sur les droits et libertés des personnes concernées. Pour le consentement, gardez une trace du choix exprimé et de son retrait éventuel.
3. Les informations communiquées aux personnes
Réunissez les notices de confidentialité utilisées sur vos formulaires, votre site et vos documents de collecte. Elles doivent présenter, de façon compréhensible, les finalités, les bases légales, les destinataires, les durées ou critères de conservation, les droits des personnes et les modalités pour les exercer.
Archivez les versions successives et leur date de mise en service. Cela permet de démontrer quelles informations étaient accessibles au moment de la collecte.
4. Les contrats et instructions des sous-traitants
Votre prestataire de paie, votre hébergeur ou votre outil de gestion peut traiter des données pour votre compte. Identifiez ces intervenants et vérifiez que les contrats encadrent les obligations prévues par le RGPD : confidentialité, sécurité, assistance, recours à d’autres sous-traitants et sort des données en fin de prestation.
Gardez également une vue claire des accès accordés et des services réellement utilisés. Une liste de fournisseurs sans contrat ni périmètre défini ne suffit pas à démontrer une maîtrise effective.
La conformité se joue aussi dans les outils du quotidien. Une entreprise qui équipe ses locaux ou refond ses espaces de travail peut, par exemple, examiner les dispositifs connectés associés aux accès et les données qu’ils génèrent. Le magazine Configurateur Portes aborde notamment les serrures connectées et les ouvertures intelligentes : ces usages rappellent qu’il faut vérifier les flux de données, les accès et les responsabilités des fournisseurs avant toute mise en service.
5. Les mesures de sécurité réellement appliquées
Préparez une description proportionnée de vos mesures : gestion des habilitations, authentification renforcée, sauvegardes, mises à jour, chiffrement lorsque pertinent, protection des postes et sensibilisation des équipes. Ajoutez des éléments datés qui attestent leur mise en œuvre : procédure, compte rendu de test, suivi des accès ou preuve de formation.
Évitez les affirmations générales telles que « nos données sont sécurisées » sans pouvoir préciser les mesures correspondantes. La sécurité doit être adaptée aux risques et réévaluée quand vos outils ou votre activité évoluent.
6. Les durées de conservation et le tri des données
Formalisez les durées de conservation ou les critères permettant de les déterminer, en tenant compte des obligations légales et des besoins opérationnels. Distinguez, si nécessaire, la base active, l’archivage intermédiaire et la suppression ou l’anonymisation.
Une politique écrite est plus convaincante si vous pouvez montrer qu’elle est appliquée : règles d’archivage, calendrier de purge, procédure de suppression ou contrôles périodiques des comptes inactifs.
7. Le suivi des demandes de droits
Conservez une procédure claire pour recevoir et traiter les demandes d’accès, de rectification, d’effacement, d’opposition ou de limitation. Un registre de suivi, même simple, permet d’indiquer la date de réception, les vérifications effectuées, la réponse apportée et les délais.
Les collaborateurs doivent savoir à qui transmettre une demande. Les réponses doivent être traitées dans les délais applicables, en tenant compte des règles propres au droit exercé et à la situation.
8. Les incidents, analyses de risques et décisions associées
Documentez les violations de données et les incidents de sécurité, y compris ceux qui n’ont finalement pas donné lieu à une notification. Indiquez les faits, les conséquences évaluées, les mesures correctives et les décisions prises. Lorsqu’une notification à la CNIL ou aux personnes est requise, conservez-en la trace.
Ajoutez les analyses de risques pertinentes. Si un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, vérifiez si une analyse d’impact relative à la protection des données est nécessaire et, le cas échéant, documentez-la.
Faire de la checklist un outil de pilotage
Centralisez ces éléments dans un espace sécurisé, avec des responsables identifiés et des dates de révision. Une revue trimestrielle ou semestrielle peut suffire à une petite structure si elle est sérieuse et déclenchée aussi lors d’un changement important : nouvel outil, nouvelle finalité, recrutement ou évolution du parcours client.
Commencez par les traitements les plus sensibles ou les plus exposés, puis corrigez les lacunes par ordre de priorité. Cette démarche progressive est souvent plus utile qu’une documentation volumineuse qui ne correspond pas aux pratiques. Pour replacer ces sujets dans une démarche globale de structuration, découvrez les ressources et accompagnements présentés sur notre page d’accueil.