Registre des activités de traitement, AIPD et finalisation du passage

Module 9: Les personnes et les règles · Temps de lecture : 12 minutes

Objectif pédagogique : après cette leçon, vous saurez mettre à jour le registre des activités de traitement et la politique de confidentialité après le passage, déterminer si une AIPD est nécessaire, faire supprimer proprement l'ancien service et finaliser formellement la migration à l'aide d'une checklist finale.

Notions clés : registre des activités de traitement (art. 30), exception pour les organisations de moins de 250 salariés, AIPD (art. 35), liste des traitements nécessitant une AIPD établie par la CNIL, politique de confidentialité (art. 13 et 14), destinataires, transfert, obligation de notification des violations de données (art. 33), suppression auprès de l'ancien prestataire, confirmation de suppression, évaluation, checklist finale

Le passage n'est terminé que lorsque les documents sont en ordre

La messagerie fonctionne, les fichiers sont en place, tout le monde travaille dans le nouvel environnement. Techniquement, vous avez terminé. Mais pour le RGPD, il reste du travail : votre documentation décrit encore l'ancienne situation. En cas de question d'un client, d'un contrôle ou d'une violation de données, vous devez pouvoir montrer la situation actuelle. Cette leçon finalise le passage.

Ceci est une explication, pas un conseil juridique.

Le registre des activités de traitement

L'article 30, paragraphe 1, du RGPD impose au responsable du traitement de tenir un registre des activités de traitement. Celui-ci précise, pour chaque traitement (par exemple « commandes clients », « gestion du personnel », « newsletter ») :

• le nom et les coordonnées du responsable du traitement (et éventuellement du délégué à la protection des données) ;
• les finalités du traitement ;
• les catégories de personnes concernées et de données à caractère personnel ;
• les destinataires, y compris les sous-traitants ;
• les transferts vers des pays hors EEE, avec les garanties associées ;
• les délais de conservation, dans la mesure du possible ;
• une description générale des mesures de sécurité, dans la mesure du possible.

Cela s'applique-t-il aussi à une petite organisation ?

L'article 30, paragraphe 5, prévoit une exception pour les organisations de moins de 250 salariés. Mais cette exception ne s'applique pas si le traitement est susceptible de comporter un risque, s'il n'est pas occasionnel, ou s'il porte sur des catégories particulières de données (comme la santé) ou des données relatives à des condamnations pénales. La CNIL explique qu'en pratique, les traitements sont rarement occasionnels : dès que vous avez des salariés ou des clients réguliers, vous traitez des données de façon structurelle. Pour Bakkerij De Korrel, qui gère la paie, les commandes clients et les arrêts maladie, l'exception ne s'applique donc pas.

Une proposition européenne vise à alléger l'obligation de registre pour les petites organisations (le paquet dit Omnibus IV ; en juin 2026, le Conseil et le Parlement sont parvenus à un accord provisoire). Tant que ce texte n'est pas entré en vigueur, l'article 30 actuel s'applique. Et même après, un registre reste utile : vous en avez besoin pour pouvoir respecter le reste de vos obligations.

Que faut-il adapter après le passage ?

Passez en revue chaque ligne de votre registre et adaptez-la :

Un passage est un bon moment pour enfin régler véritablement les délais de conservation. Aux Pays-Bas, la comptabilité fiscale est en principe soumise à une obligation de conservation de sept ans ; pour les données de candidature, la CNIL néerlandaise (Autoriteit Persoonsgegevens) recommande en principe quatre semaines après la procédure. Ces règles sont propres aux Pays-Bas ; dans votre pays, d'autres délais peuvent s'appliquer. Vérifiez quels délais s'appliquent à votre secteur.

Devez-vous réaliser une AIPD ?

Une AIPD (analyse d'impact relative à la protection des données, appelée « gegevensbeschermingseffectbeoordeling » dans le RGPD) est une analyse de risque structurée réalisée en amont. L'article 35 impose une AIPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les personnes concernées, notamment en cas de nouvelle technologie.

Comment savoir si c'est le cas ?

1. La liste de la CNIL néerlandaise. L'Autoriteit Persoonsgegevens (la CNIL néerlandaise) a publié en 2019 une liste de dix-sept types de traitements pour lesquels une AIPD est toujours obligatoire. On y trouve notamment le traitement à grande échelle de données de santé, la vidéosurveillance, la surveillance des salariés, les données de communication, les données de localisation, le profilage et la biométrie. Chaque autorité de contrôle de l'UE établit sa propre liste de traitements soumis à AIPD (art. 35, paragraphe 4) ; en France, consultez la liste établie par la CNIL.
2. Les critères européens. Les autorités de contrôle européennes ont établi neuf critères (comme les données sensibles, le grand volume, les personnes vulnérables, la surveillance systématique, les nouvelles technologies). Si un traitement répond à deux critères ou plus, une AIPD est en principe nécessaire.

Pour une boulangerie qui migre sa messagerie et ses fichiers, une AIPD n'est généralement pas obligatoire. Pour un cabinet médical qui transfère la communication avec les patients vers un nouveau service, ou une école avec des données d'élèves, la situation est différente. Même lorsqu'elle n'est pas obligatoire, une courte analyse de risque peut être utile. L'évaluation de la leçon 1.5 en constitue un bon point de départ. Si vous disposiez déjà d'une AIPD pour l'ancien service, mettez-la à jour.

La politique de confidentialité

Dans votre politique de confidentialité, vous informez les personnes concernées (clients, candidats, visiteurs du site web) de la manière dont vous traitez leurs données (art. 13 et 14). On y trouve notamment les destinataires ou catégories de destinataires et les éventuels transferts hors EEE. Si le texte indiquait « nous utilisons des services de sociétés situées aux États-Unis sur la base du Data Privacy Framework », adaptez-le. Ne modifiez rien qui ne soit pas exact : ne mentionnez que ce que vous savez réellement, d'après le contrat de sous-traitance et la liste des sous-traitants.

Violations de données : sachez qui appeler

Après le passage, votre prestataire a changé, et donc aussi la procédure en cas de violation de données. Indiquez dans votre procédure :

• l'adresse de contact du nouveau prestataire pour les incidents de sécurité ;
• le délai dans lequel le prestataire vous informe selon le contrat de sous-traitance ;
• qui décide chez vous s'il faut notifier l'incident, sachant que la notification à l'autorité de contrôle doit intervenir dans les 72 heures suivant la découverte (art. 33) ;
• où vous tenez le registre des violations de données : même les violations que vous n'êtes pas tenu de notifier doivent être consignées en interne (art. 33, paragraphe 5).

Finaliser avec l'ancien prestataire

Ne résiliez l'ancien service que lorsque tout fonctionne correctement depuis quelques semaines (leçon 3.3). Ensuite :

1. Dernière vérification : tout a-t-il bien été transféré ? Reste-t-il des dossiers partagés, des formulaires ou des liaisons pointant encore vers l'ancien service ?
2. Exportez une dernière archive pour votre propre comptabilité, si vous souhaitez la conserver (par exemple la messagerie soumise à l'obligation de conservation). Conservez-la chiffrée.
3. Supprimez les comptes et les données auprès de l'ancien prestataire, ou faites-les supprimer. L'article 28, paragraphe 3, point g, impose à l'ancien sous-traitant de supprimer ou de restituer les données à l'issue de la prestation, selon votre choix. Demandez une confirmation de suppression et conservez-la avec votre registre.
4. Nettoyez les liaisons : connexions « se connecter avec » vers d'autres services, applications disposant d'un accès, et enregistrements de vérification dans votre DNS (leçon 4.3).
5. Mettez à jour votre registre, votre politique de confidentialité et votre procédure en cas de violation de données (voir ci-dessus).

Évaluer

Planifiez une courte évaluation un mois après le passage avec les ambassadeurs (leçon 9.1). Qu'est-ce qui s'est bien passé, qu'est-ce qui n'a pas fonctionné, que feriez-vous différemment la prochaine fois ? Notez également votre plan de sortie pour le nouveau service (leçon 8.2) et fixez une date dans l'agenda pour le tester chaque année.

En pratique : à quoi cela ressemble-t-il chez un prestataire

De nombreux prestataires proposent une fonction permettant de télécharger vos données ou de faire supprimer votre compte. Chez WebOké, le guide WebOké explique comment télécharger vos données ou les faire supprimer. Chez les grands services américains, cela s'appelle généralement « exporter les données » et « supprimer le compte », et l'administrateur d'un compte d'organisation dispose de ses propres fonctions d'export. Renseignez-vous au préalable sur la durée pendant laquelle le service conserve encore les données en sauvegarde après suppression ; cette information figure souvent dans la politique de confidentialité ou le contrat de sous-traitance.

Checklist finale

• [ ] Tous les éléments de l'inventaire (leçon 3.1) figurent dans le nouvel environnement et ont été vérifiés
• [ ] Contrat(s) de sous-traitance conclu(s) avec le(s) nouveau(x) prestataire(s) et conservé(s) (leçon 9.2)
• [ ] Registre des activités de traitement mis à jour : destinataires, transferts, sécurité, délais de conservation
• [ ] AIPD évaluée (nécessaire ou non, et raison consignée)
• [ ] Politique de confidentialité adaptée
• [ ] Procédure en cas de violation de données avec les nouvelles coordonnées
• [ ] Ancien service résilié, données supprimées, confirmation conservée
• [ ] Liaisons et anciens enregistrements DNS nettoyés
• [ ] Sauvegarde du nouvel environnement mise en place et testée (leçon 8.1)
• [ ] Plan de sortie pour le nouveau service consigné (leçon 8.2)
• [ ] Évaluation réalisée

Résumé

• Après le passage, mettez à jour le registre des activités de traitement : destinataires, transferts, sécurité et délais de conservation.
• L'exception pour les organisations de moins de 250 salariés s'applique rarement en pratique ; une proposition visant à l'assouplir n'est pas encore entrée en vigueur (situation en novembre 2026).
• Une AIPD est obligatoire en cas de risque élevé (liste de la CNIL néerlandaise, critères européens) ; pour des données de bureau courantes, ce n'est généralement pas le cas.
• Adaptez votre politique de confidentialité et votre procédure en cas de violation de données.
• Faites supprimer vos données par l'ancien service et demandez une confirmation.

Quiz

Exercice

Exercice E9.3 : Finalisez votre passage. Pour trois traitements de votre organisation, mettez à jour les lignes du registre des activités de traitement (destinataires, transfert, sécurité, délai de conservation), évaluez à l'aide de la liste de la CNIL néerlandaise et des critères européens si une AIPD est nécessaire, et remplissez la checklist finale.

Pour aller plus loin

Les étapes décrites dans ces articles concernent les services de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Guide WebOké 11.7: Confidentialité : télécharger ou supprimer vos données
• Guide Nextcloud 16.7: Un collègue quitte l'entreprise : reprendre en toute sécurité les fichiers, l'agenda et les dossiers partagés
• Guide Nextcloud 15.13: Questions fréquentes sur la sécurité et la confidentialité
• Règlement (UE) 2016/679 (RGPD), articles 13, 14, 28, 30, 33 et 35, sur EUR-Lex
• Décision relative à la liste des traitements de données à caractère personnel pour lesquels une AIPD est obligatoire (Autoriteit Persoonsgegevens, Stcrt. 2019), sur wetten.overheid.nl (BWBR0042812), ce document concerne la CNIL néerlandaise ; en France, consultez la liste équivalente publiée par la CNIL
• Autoriteit Persoonsgegevens (la CNIL néerlandaise), rubriques « Register van verwerkingsactiviteiten » et « DPIA » : https://www.autoriteitpersoonsgegevens.nl