Lors d’un contrôle de la CNIL, la première question posée n’est jamais « êtes-vous conforme ? » mais « pouvez-vous le prouver ? ». Cette nuance change tout le rapport à la conformité RGPD. Le responsable du traitement porte la charge de démontrer, preuve à l’appui, que chaque opération sur des données personnelles respecte le règlement. Pas de déclaration de principe, pas de document générique : on parle de preuves concrètes, traitement par traitement.
Principe d’accountability RGPD : ce que la CNIL attend vraiment lors d’un contrôle
Sur le terrain, beaucoup d’organismes confondent « être conforme » et « pouvoir le démontrer ». L’article 5(2) du RGPD pose pourtant une obligation distincte : le responsable du traitement doit prouver la conformité principe par principe. Produire une politique de confidentialité bien rédigée ne suffit pas.
Lire également : Comment savoir si une image a été manipulée ?
Concrètement, quand un contrôleur de la CNIL demande à voir comment on justifie la licéité d’un traitement de données personnelles, il faut sortir la base légale retenue, la documentation associée et les mesures techniques appliquées. L’affaire ICCL v Microsoft, examinée par la High Court irlandaise, a rappelé que la charge de la preuve pèse sur le responsable du traitement pour chaque obligation contestée, en référence aux articles 5(2) et 24(1).
L’organisme qui se contente d’un registre des traitements rempli à la hâte et d’une mention « données traitées conformément au RGPD » sur son site prend un risque sérieux. La CNIL attend une documentation vivante, mise à jour, rattachée à chaque traitement.
A lire aussi : La méthode 2FA est-elle sûre ?
Responsable de traitement, sous-traitant, DPO : qui porte la charge de la preuve RGPD ?
On a tendance à penser que nommer un DPO (délégué à la protection des données) transfère la responsabilité. C’est faux. Le DPO conseille et contrôle, mais ne porte pas la charge juridique de la conformité. Celle-ci reste attachée au responsable du traitement, c’est-à-dire l’entité qui détermine les finalités et les moyens du traitement de données à caractère personnel.
Le sous-traitant a ses propres obligations
Le sous-traitant (un hébergeur cloud, un prestataire de paie, un outil SaaS) doit démontrer qu’il respecte les instructions du responsable et qu’il applique les mesures de protection prévues à l’article 32. En cas de litige, on ne peut pas se retrancher derrière son prestataire : chaque acteur doit documenter sa part.
Répartition concrète des rôles
- Le responsable du traitement documente la base légale, les finalités, les durées de conservation et les mesures de sécurité pour chaque traitement inscrit au registre.
- Le sous-traitant fournit les garanties contractuelles (clauses de sous-traitance, certifications éventuelles, audits) et tient son propre registre des traitements effectués pour le compte du responsable.
- Le DPO vérifie la cohérence de l’ensemble, alerte en cas de non-conformité et coopère avec la CNIL, mais n’endosse jamais la responsabilité juridique du responsable ou du sous-traitant.
Dans la pratique, les retours varient sur la marge de manœuvre réelle du DPO selon la taille de l’organisme et les moyens alloués. Un DPO mutualisé entre plusieurs structures n’aura pas la même capacité d’audit qu’un DPO dédié à temps plein.
Documentation de conformité RGPD : les preuves que l’organisme doit produire
La question n’est pas « avons-nous une politique ? » mais « pour ce traitement précis, où est la preuve ? ». L’article 24(1) oblige le responsable du traitement à mettre en œuvre des mesures techniques et organisationnelles appropriées, et à être en mesure de le démontrer.
Ce qu’on doit retrouver dans le dossier
Un registre des traitements à jour (article 30) constitue la pièce maîtresse. Chaque fiche de traitement doit mentionner la finalité, les catégories de données personnelles, les destinataires, les durées de conservation et les mesures de protection.
Au-delà du registre, les analyses d’impact (AIPD) sont obligatoires pour les traitements à risque élevé. Si on traite des données de santé à grande échelle ou qu’on déploie de la vidéosurveillance dans un espace public, l’absence d’AIPD est un motif de sanction en soi.
Les preuves de consentement méritent une attention particulière. Stocker un horodatage et le contenu exact du formulaire accepté par la personne n’est pas optionnel quand le consentement sert de base légale. Un simple « oui/non » dans une base de données ne prouve rien si on ne peut pas reconstituer ce que la personne a vu au moment de son accord.
Certification et codes de conduite
Certains organismes s’appuient sur des certifications (comme celles reconnues par le CEPD) ou des codes de conduite sectoriels pour renforcer leur dossier de conformité. Une certification ne dispense pas de documenter chaque traitement, mais elle constitue un élément de preuve supplémentaire que la CNIL prend en compte lors d’un contrôle.
Contrôle CNIL et contentieux : comment la charge de la preuve fonctionne en pratique
Un point souvent mal compris : la charge de la preuve n’est pas automatiquement inversée dans tout litige RGPD. Le demandeur (la personne dont les données sont concernées, ou l’autorité de contrôle) doit d’abord établir que le défendeur est bien responsable du traitement et que l’opération relève du RGPD.
Une fois ce cadre posé, c’est au responsable du traitement de prouver que le traitement contesté respecte les exigences pertinentes. On ne demande pas à la personne concernée de démontrer la non-conformité : c’est l’organisme qui doit ouvrir ses dossiers.
Cette mécanique a des conséquences directes sur la gestion documentaire. Archiver les versions successives de ses politiques, conserver les traces d’audit, garder les preuves de formation des équipes : tout cela devient un réflexe opérationnel, pas un exercice administratif annuel.
Un organisme qui ne retrouve pas ses preuves au moment d’un contrôle se retrouve dans la même position que celui qui n’a rien fait. La conformité RGPD se joue autant dans la rigueur du classement que dans la qualité des mesures de protection mises en place.
