Huit ans après son entrée en application, le RGPD n'est plus un sujet de projet mais d'exploitation. Les organisations qui échouent aujourd'hui ne sont pas celles qui ignorent le texte : ce sont celles dont la documentation décrit une organisation qui n'existe plus.
Note de méthode : les positions des autorités et la jurisprudence évoluent en continu. Les éléments ci-dessous portent sur des principes stables, et les points sensibles sont signalés comme tels. Pour toute décision engageante, vérifiez l'état du droit à la date où vous décidez.
Ce qui déclenche un contrôle
Les contrôles ne tombent pas au hasard. Quatre déclencheurs dominent.
La plainte d'une personne concernée, en général après une demande d'accès ou d'effacement restée sans réponse. La notification de violation de données, qui amène l'autorité à examiner la sécurité au-delà de l'incident déclaré. Le signalement d'un salarié ou d'un ancien salarié, fréquent sur les dispositifs de surveillance. Et les campagnes thématiques annoncées, sur lesquelles il est possible de se préparer.
Le premier déclencheur est le plus courant et le plus évitable. Une demande d'exercice de droits traitée dans le délai d'un mois coûte peu ; la même demande ignorée ouvre un contrôle sur l'ensemble du traitement.
Les cinq preuves à tenir à jour
Le registre des traitements. Il n'est utile que s'il est vivant. Un registre dont la dernière mise à jour date de deux ans indique à l'autorité que la gouvernance ne fonctionne pas, avant même l'examen du fond. Le point de contrôle qui compte est le processus : comment un nouveau traitement y entre-t-il, et qui le déclenche.
Les bases légales, traitement par traitement. L'erreur la plus fréquente reste le consentement invoqué là où il n'est pas libre, notamment dans la relation de travail. Un consentement qu'un salarié ne peut pas refuser sans conséquence n'est pas un consentement.
Les durées de conservation, et leur application effective. Une durée écrite dans le registre et jamais appliquée dans les systèmes est un écart facile à constater : l'autorité demande le plus ancien enregistrement de la base. La purge automatique vaut mieux qu'une procédure annuelle.
Les contrats de sous-traitance. L'article 28 exige un contrat, mais le contrôle porte sur ce qui suit : avez-vous vérifié les garanties, et que faites-vous quand un sous-traitant change de sous-traitant.
Les analyses d'impact. Obligatoires pour les traitements susceptibles d'engendrer un risque élevé. Le défaut le plus courant n'est pas l'absence d'analyse, c'est une analyse conduite au lancement et jamais revue alors que le traitement a changé.
Les transferts hors Union européenne restent un sujet ouvert
Le cadre de protection des données entre l'Union européenne et les États-Unis, adopté en 2023, sécurise les transferts vers les organisations américaines certifiées. Il fait l'objet de recours, et son avenir n'est pas acquis.
La conséquence pratique est indépendante de l'issue : une organisation qui n'a pas cartographié ses transferts ne saura pas réagir si le cadre est invalidé, comme cela s'est produit deux fois. La mesure de prudence consiste à savoir, pour chaque outil, où la donnée est hébergée et sur quel mécanisme le transfert repose. C'est un inventaire, il se fait une fois et se maintient.
Attention aux transferts qui ne se voient pas : un service d'assistance dont l'équipe est hors Union européenne accède aux données, donc les transfère, même si le stockage est en Europe.
Le croisement avec l'IA
L'AI Act ne remplace pas le RGPD, il s'y ajoute. Dès qu'un système d'IA traite des données personnelles, les deux s'appliquent, et le RGPD porte les questions les plus concrètes.
Trois d'entre elles reviennent. La base légale de l'entraînement, lorsqu'il utilise des données collectées pour une autre finalité. L'information des personnes, quand une décision est préparée par un système automatisé. Et l'article 22, qui encadre les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques : un tri automatique de candidatures sans intervention humaine réelle y tombe.
Sur ce dernier point, l'intervention humaine doit être effective. Un opérateur qui valide sans pouvoir contredire n'interrompt pas le caractère exclusivement automatisé.
Les erreurs qui coûtent le plus
Traiter la conformité comme un projet clos. Les organisations sanctionnées ont presque toutes eu un programme de mise en conformité, souvent sérieux, et l'ont arrêté.
Documenter la cible plutôt que le réel. Une politique qui décrit ce qu'on voudrait faire se retourne contre son auteur : elle prouve que l'écart était connu.
Négliger la sécurité comme obligation RGPD. L'article 32 impose des mesures techniques et organisationnelles appropriées. Une part importante des sanctions porte sur ce fondement à la suite d'une violation, et non sur les principes de licéité.
Ce que Zaxyr apporte
Zaxyr tient le registre des traitements rattaché aux systèmes et aux fournisseurs réels, de sorte qu'un nouvel outil déclaré fait apparaître le traitement associé plutôt que de rester invisible. Les mesures de l'article 32 sont rattachées au même référentiel de contrôles que NIS2 et ISO 27001, et leur état est collecté plutôt que déclaré.