RGPD : quel traitement faut-il cartographier avant le prochain incident ?

Le RGPD s’applique depuis 2018, mais une page générale sur la conformité ne constitue plus une offre. L’Autorité belge de protection des données demande aux responsables et sous-traitants de tenir un registre à jour. Elle rappelle aussi que certaines violations doivent être notifiées si possible dans les 72 heures, sauf lorsqu’elles sont peu susceptibles d’engendrer un risque pour les personnes. Le Comité européen précise que même une violation non notifiée doit être documentée. Le premier achat défendable consiste donc à cartographier un traitement critique, ses rôles, ses sous-traitants, ses preuves et son scénario d’incident. Cette lecture borne cette mission sans promettre conformité globale, absence de sanction ou conclusion juridique en dehors d’un professionnel qualifié. Le déclencheur, le propriétaire et l’échéance doivent être visibles avant toute proposition commerciale.

Une revue devient achetable lorsqu’un nouveau sous-traitant, une nouvelle finalité, une migration, un incident ou un traitement à risque modifie les faits. Elle ne commence pas par “mettre l’entreprise en conformité”, mais par une décision précise que le responsable doit prendre et documenter.

Le commanditaire choisit un flux réel : recrutement, marketing, support, santé, géolocalisation ou vidéo. Le périmètre indique personnes, système, responsable et échéance. Sans déclencheur, la mission risque de produire une documentation générique sans propriétaire.

Le responsable détermine les finalités et moyens essentiels ; le sous-traitant agit pour son compte et sur instruction. Une organisation peut avoir des rôles différents selon les traitements. Le contrat doit refléter le fonctionnement réel, les sous-traitants ultérieurs et la gestion des incidents.

La revue suit qui décide, qui accède, qui réutilise et qui répond aux personnes. Elle évite d’attribuer un rôle à partir du seul nom du contrat. Une réutilisation autonome peut changer la qualification et exige un avis adapté.

Le registre doit donner une vue exploitable des traitements, de leurs finalités, catégories, destinataires, transferts, conservation et mesures selon le rôle de l’organisation. Il reste à jour et peut être présenté à l’autorité ; un tableau copié d’un modèle sans lien avec les systèmes ne remplit pas ce rôle.

Chaque ligne possède un propriétaire et une date de revue. Tout champ inconnu devient un point ouvert assorti d’une source attendue, d’un responsable et d’une échéance. Le registre sert ensuite à traiter droits, fournisseurs, sécurité et incidents ; il n’est pas une fin administrative isolée.

Une analyse d’impact est requise avant un traitement susceptible d’engendrer un risque élevé, notamment selon les cas et listes applicables. Une nouvelle technologie, un changement d’échelle, de données ou de sous-traitant peut modifier ce risque ; la décision doit être argumentée avant le lancement.

La revue applique les critères et la liste de l’APD, puis consigne AIPD requise, non requise ou avis spécialisé. Elle ne remplit pas mécaniquement un formulaire. Le propriétaire doit pouvoir modifier le projet à partir des risques identifiés.

Toute violation de données personnelles doit être enregistrée et évaluée. Le responsable notifie l’autorité compétente si les conditions sont réunies, si possible dans les 72 heures après en avoir pris connaissance ; le sous-traitant informe le responsable sans retard indu selon le contrat.

Le scénario précise alerte, qualification, personnes, système, décision, notification éventuelle et communication. L’équipe conserve les faits et les raisons de notifier ou non. Elle utilise le portail officiel et les langues admises.

Le premier achat est une cartographie d’un traitement critique avec registre corrigé, carte des rôles, écarts contractuels, décision AIPD et scénario d’incident. Il ne délivre ni certification RGPD ni garantie de sécurité ; les avis juridiques et remédiations techniques sont séparés.

Le prix, le volume, le délai et la capacité privacy-technique sont fixés après examen du périmètre, des systèmes concernés et des compétences réellement mobilisables. La livraison se termine par actions immédiates, dépendances fournisseur et NO-GO éventuel.

La continuité suit changements de finalité, fournisseurs, droits, incidents et mesures. Chaque cycle doit fermer un écart ou requalifier un risque ; une veille RGPD générique ne suffit pas à justifier une récurrence.

Les indicateurs sont traitements revus, contrats corrigés, demandes traitées et incidents documentés. Ils ne deviennent pas des résultats financiers. La maintenance s’arrête si aucune décision n’est prise à partir des constats.

L’acquisition reste en HOLD sans déclencheur précis, spécialiste disponible, responsabilité bornée et premier prix validé. Le RGPD générique chevauche la cybersécurité ; cette lecture ne survit que comme offre privacy opérationnelle centrée sur un traitement et ses rôles.

getfishnet peut activer ce marché si le partenaire combine compétence privacy et technique, accepte un périmètre étroit et sait escalader. Sans cette capacité, la demande apparente ne devient pas un service achetable.

Sources d’autorité citées : Autorité de protection des données ; Comité européen de la protection des données. Les URL et procédures sont conservées dans le dossier privé.