Ce que contient le modèle
La barre du registre des traitements conditionne presque tout ce qui la suit, et les deux lignes de répétition existent parce qu’une procédure que personne n’a jamais déroulée n’est pas une procédure :
- Cadrage du programme et gouvernance, Responsabilités attribuées, désignation ou confirmation du délégué à la protection des données, qualification de responsable de traitement ou de sous-traitant pour chaque activité, entités et pays concernés, évaluation d’écarts et instance de pilotage. Jalon : périmètre et rôles arrêtés.
- Registre des traitements, la fondation, Ateliers de recensement avec chaque direction, inventaire des applications, description des activités de traitement et des flux, repérage des données sensibles et des données relatives aux condamnations, puis validation du registre avec ceux qui portent réellement les traitements. Jalon : registre des traitements établi.
- Base légale, conservation et transferts, Tout ce qui se déduit du registre : une base légale par activité, l’analyse de mise en balance là où l’intérêt légitime est invoqué, recueil et retrait du consentement, règles de conservation et de purge, cartographie des transferts hors Union européenne et de leur mécanisme d’encadrement, et des mentions d’information réécrites à partir de la réalité. Jalon : bases légales et durées de conservation validées.
- Droits des personnes et capacité de réponse, Procédure de traitement des demandes, vérification d’identité, canal de réception, recherche et extraction dans les systèmes, formation des personnes qui répondent, et un exercice à blanc chronométré sur une demande complète de bout en bout. Jalon : procédure de droits testée de bout en bout.
- Sécurité et préparation aux violations, Revue des mesures techniques et organisationnelles, détection et escalade, procédure d’appréciation du risque et de décision de notification, registre des violations, et un exercice sur table déroulé contre la montre. Jalon : réponse aux violations répétée.
- AIPD, sous-traitants et fonctionnement continu, Critères de déclenchement et analyses d’impact relatives à la protection des données sur les traitements à risque élevé, mise en conformité des contrats de sous-traitance, sensibilisation, et le processus de gestion du changement qui maintient le registre à jour une fois le projet terminé. Jalon : position défendable atteinte.
Qui utilise ce modèle
Les délégués à la protection des données, les référents vie privée et les responsables conformité s'en servent pour mettre une organisation en conformité RGPD dans le bon ordre. Il commence par le registre des traitements, puis traite la base légale, la conservation, les transferts, un processus de demande d'accès éprouvé et une réponse à violation répétée, transformant une obligation légale large en un plan daté et suivable.
Comment l’adapter
- Découpez le recensement et le registre en une ligne par direction ou par entité ; une ligne unique masque le plus gros poste du plan.
- Si vous êtes sous-traitant et non responsable de traitement, reconstruisez les phases « droits » et « violations » autour de votre obligation d’assister et d’alerter vos responsables de traitement.
- Ajoutez une ligne par flux si vous transférez des données hors Union européenne, le mécanisme d’encadrement et l’analyse diffèrent selon la destination.
- Allongez la phase des droits si vos données vivent dans de nombreux systèmes ; l’outillage d’extraction est presque toujours le point dur, pas l’analyse juridique.
- Ajoutez des lignes pour toute procédure en cours avec la CNIL, consultation préalable ou plainte déjà déposée : elles passeront devant le plan.
- Faites courir la dernière phase au-delà du jalon, le registre se périme dès qu’un nouveau système ou un nouveau sous-traitant arrive.
Conseils de planification
- Construisez le registre avant les politiques. Une politique rédigée avant de savoir quels traitements existent décrit une organisation que vous n’avez pas, et la première demande le révélera.
- Chronométrez l’exercice à blanc. Le résultat utile d’une demande d’entraînement, c’est le nombre de jours consommés et l’endroit où cela a coincé, pas le fait d’avoir fini par produire le dossier.
- Répétez la décision, pas seulement la réponse technique. Le difficile est d’apprécier le risque et de décider si la notification est requise, et cette décision doit être prise par des personnes qui l’ont déjà prise.
- Écrivez pourquoi vous n’avez pas notifié. Si vous concluez qu’une violation n’est pas notifiable, c’est le raisonnement et sa trace qui défendront la décision plus tard.
- Distinguez le règlement des lignes directrices. Citez le texte quand c’est le texte, et présentez les recommandations de la CNIL pour ce qu’elles sont : la lecture de l’autorité, utile et attendue, mais distincte de l’article.
- Branchez le registre sur la gestion du changement. Un nouveau prestataire, un nouveau système ou une nouvelle fonctionnalité doit mettre le registre à jour par routine, sinon vous le reconstruirez dans deux ans.
Modèles associés
- Plan de certification ISO 27001
- Planning de conformité SOC 2
- Plan d’audit interne
- Plan de projet de reprise de données
- Plan de conduite du changement
- Voir tous les modèles de diagramme de Gantt
Ce modèle est en français. Les pages associées non encore traduites s’ouvrent en anglais.
Questions fréquentes
Combien de temps dure un programme de conformité RGPD ?
Le modèle court sur environ quinze mois jusqu’à une position défendable. L’essentiel tient au travail de registre et à l’outillage derrière les demandes d’exercice des droits, non à la rédaction juridique. Il faut dire clairement que le programme ne s’arrête pas là : le registre s’entretient, les analyses d’impact se rejouent, et les systèmes comme les sous-traitants changent.
Quel est le délai de réponse à une demande d’accès ?
L’article 12 du règlement fixe le délai à un mois à compter de la réception de la demande. Il peut être prolongé de deux mois supplémentaires si nécessaire, compte tenu de la complexité et du nombre de demandes, et le responsable de traitement doit informer la personne concernée de cette prolongation et de ses motifs dans le mois suivant la réception. Le point de départ du délai, la vérification d’identité et le traitement des demandes manifestement infondées ou excessives sont là où se loge la difficulté pratique : faites confirmer votre cas par un conseil.
Que dit exactement la règle des 72 heures ?
L’article 33 impose au responsable de traitement de notifier une violation de données à caractère personnel à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Une notification au-delà de 72 heures doit être accompagnée des motifs du retard. L’article 34 impose séparément d’informer les personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé pour elles. Le moment où l’on est réputé avoir « pris connaissance » relève de l’appréciation, et c’est pourquoi le modèle fait répéter la décision et pas seulement le confinement technique.
Pourquoi le registre des traitements passe-t-il avant tout le reste ?
Parce que base légale, durées de conservation, encadrement des transferts, mentions d’information et analyses d’impact sont autant d’affirmations portant sur des traitements précis. Sans registre de ces traitements, chacune est écrite contre une hypothèse. Les programmes qui commencent par une bibliothèque de politiques la refont une fois le recensement terminé.
Quand faut-il une AIPD, et qui doit être désigné DPO ?
Le règlement impose une analyse d’impact relative à la protection des données lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, et la désignation d’un délégué à la protection des données dans les cas qu’il énumère, autorité ou organisme public, suivi systématique à grande échelle, traitement à grande échelle de données sensibles. Au-delà de ces cas, la CNIL publie ses propres listes et recommandations sur les traitements qu’elle considère comme soumis à AIPD : consultez-les, mais gardez la distinction entre le texte et sa lecture par l’autorité.
En quoi cela diffère-t-il d’ISO 27001 ou de SOC 2 ?
Le RGPD est un texte de droit : il s’applique que quiconque vous certifie ou non. ISO 27001 est une certification accréditée portant sur un système de management de la sécurité de l’information, et SOC 2 est un rapport d’attestation de l’AICPA produit par un auditeur, ni l’un ni l’autre n’est un constat de conformité juridique. Le recouvrement est fort sur les mesures de sécurité et les preuves sont réutilisables, mais un certificat n’est pas un moyen de défense. Voyez le plan de certification ISO 27001 et le calendrier de conformité SOC 2 si vous les menez en parallèle.
Le modèle de calendrier RGPD est-il gratuit ?
Oui. Téléchargements Excel, PowerPoint et CSV gratuits, et édition en ligne gratuite, sans compte ni filigrane. Ce modèle est une aide à la planification, pas un conseil juridique.