Conformité RGPD : registre, AIPD, DPO et sous-traitants

Être conforme au RGPD, c'est pouvoir prouver à tout moment que chaque traitement respecte les principes du règlement : c'est le principe de responsabilité (accountability). Cette preuve repose sur quelques outils obligatoires : le registre des traitements, l'analyse d'impact (AIPD) pour les traitements à risque, le délégué à la protection des données (DPO) quand il est requis, les contrats avec les sous-traitants et l'encadrement des transferts hors de l'Union. Ce chapitre les présente un par un, avec des exemples prêts à adapter.

Le registre des activités de traitement

Le registre est l'inventaire des traitements de données personnelles de l'organisation (article 30). C'est le premier document que demande la CNIL lors d'un contrôle, et le point de départ de toute mise en conformité : on ne protège pas ce qu'on ne connaît pas.

Qui doit le tenir ? Tout responsable de traitement et tout sous-traitant. Les organisations de moins de 250 salariés en sont dispensées, sauf si le traitement n'est pas occasionnel, s'il comporte un risque pour les personnes ou s'il porte sur des données sensibles ou pénales. Comme la paie ou la gestion des clients ne sont jamais occasionnelles, presque toutes les organisations doivent en tenir un, au moins pour ces traitements. La CNIL recommande à toutes de le tenir pour l'ensemble de leurs traitements.

Que contient-il ? Une fiche par traitement :

Le registre d'un sous-traitant est plus court : ses clients, les catégories de traitements qu'il effectue pour eux, les transferts et les mesures de sécurité. La CNIL publie un modèle de registre sous forme de tableur ; les logiciels de gestion de la conformité le génèrent aussi.

L'analyse d'impact (AIPD)

L'analyse d'impact relative à la protection des données (AIPD, ou PIA en anglais, Privacy Impact Assessment) est une étude menée avant la mise en œuvre d'un traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes (article 35). Elle décrit le traitement, vérifie sa nécessité et sa proportionnalité, évalue les risques pour les personnes et fixe les mesures qui les réduisent.

Quand est-elle obligatoire ? Trois sources se combinent :

1. l'article 35 cite trois cas : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé (profilage) et servant de base à des décisions ; le traitement à grande échelle de données sensibles ou pénales ; la surveillance systématique à grande échelle d'une zone accessible au public ;
2. la CNIL a publié une liste de types de traitements pour lesquels l'AIPD est obligatoire, parmi lesquels la surveillance constante de l'activité des salariés, les dispositifs d'alertes professionnelles, le profilage de personnes à des fins de ressources humaines, les traitements de données de santé dans les établissements de santé ;
3. les autorités européennes ont fixé neuf critères : un traitement qui en remplit au moins deux doit en principe faire l'objet d'une AIPD.

Que contient-elle ? La méthode de la CNIL suit quatre étapes : décrire le contexte (traitement, données, flux, supports) ; vérifier les principes fondamentaux (finalité, minimisation, base légale, durée, droits) ; étudier les risques sur la vie privée (accès illégitime, modification non désirée, disparition des données), en estimant pour chacun la gravité et la vraisemblance ; valider le plan d'action. La CNIL met à disposition un logiciel libre, PIA, qui guide ces étapes.

Et si le risque reste élevé ? Si, malgré les mesures, le risque résiduel demeure élevé, le responsable doit consulter la CNIL avant de lancer le traitement (article 36). Elle rend son avis dans un délai de huit semaines, prolongeable de six semaines.

Le délégué à la protection des données (DPO)

Le délégué à la protection des données (Data Protection Officer) est la personne chargée, au sein de l'organisation, de veiller au respect du RGPD. Il conseille, contrôle et sert de point de contact, mais il n'est pas responsable de la conformité : c'est le responsable de traitement qui l'est.

Désignation obligatoire (article 37) dans trois cas, quel que soit le nombre de salariés :

1. le traitement est effectué par une autorité ou un organisme public (une mairie, un lycée, un hôpital public) ;
2. les activités de base de l'organisation consistent en un suivi régulier et systématique à grande échelle des personnes (un opérateur de télécommunications, une entreprise de publicité ciblée, une société de télésurveillance) ;
3. les activités de base consistent en un traitement à grande échelle de données sensibles ou pénales (un établissement de santé privé, un laboratoire d'analyses).

Dans les autres cas, la désignation est facultative mais recommandée. Cèdre Habitat, société privée dont l'activité de base est la gestion locative, n'entre pas clairement dans ces cas ; elle a choisi de désigner une déléguée, ce qui lui impose alors de respecter tout le statut.

Missions (article 39) : informer et conseiller le responsable et les salariés ; contrôler le respect du règlement ; conseiller sur les AIPD ; coopérer avec la CNIL et être son point de contact ; être le point de contact des personnes concernées.

Statut (article 38) : il peut être salarié ou prestataire externe, mutualisé entre plusieurs organismes ; il est associé à toutes les questions de protection des données ; il ne reçoit aucune instruction dans l'exercice de ses missions et ne peut être sanctionné pour les avoir exercées ; il rend compte au plus haut niveau de la direction ; il est tenu au secret. Ses autres fonctions ne doivent pas créer de conflit d'intérêts : la responsable de la DSI, qui décide des moyens des traitements, ne peut pas être sa propre contrôleuse. Ses coordonnées sont publiées et sa désignation est communiquée à la CNIL.

La protection des données dès la conception et par défaut

L'article 25 impose deux obligations qui concernent directement les développeurs et les administrateurs :

• dès la conception (privacy by design) : intégrer la protection des données au moment où l'on conçoit un traitement ou une application, et à chaque évolution, et pas après coup ;
• par défaut (privacy by default) : sans action de l'utilisateur, seules les données nécessaires à chaque finalité sont traitées, et elles ne sont pas rendues accessibles à un nombre indéterminé de personnes.

Ces mesures recoupent celles de l'article 32 (sécurité du traitement) : pseudonymisation et chiffrement, confidentialité, intégrité, disponibilité et résilience des systèmes, capacité à rétablir les données après un incident, tests réguliers des mesures. Le cours sécurité applicative et le cours cybersécurité de l'infrastructure en détaillent la technique.

Les sous-traitants et le contrat de l'article 28

Confier des données à un prestataire (hébergeur, éditeur SaaS, infogérant, routeur de SMS) ne transfère pas la responsabilité : le responsable doit choisir un sous-traitant qui présente des garanties suffisantes et signer avec lui un contrat (ou un avenant, souvent appelé DPA, Data Processing Agreement) qui fixe au minimum :

• l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes ;
• l'obligation de ne traiter les données que sur instruction documentée du responsable ;
• la confidentialité imposée aux personnes autorisées à traiter les données ;
• les mesures de sécurité de l'article 32 ;
• les conditions de recours à un sous-traitant ultérieur (autorisation écrite préalable, mêmes obligations répercutées) ;
• l'aide au responsable pour répondre aux demandes des personnes, notifier les violations, réaliser les AIPD ;
• le sort des données en fin de contrat : suppression ou restitution, au choix du responsable ;
• la mise à disposition des informations nécessaires pour démontrer la conformité, et la possibilité d'audits.

Le sous-traitant a ses propres obligations : tenir un registre, sécuriser, notifier toute violation au responsable dans les meilleurs délais, alerter le responsable s'il reçoit une instruction contraire au RGPD. La CNIL peut le sanctionner directement : en décembre 2025, elle a infligé un million d'euros d'amende à Mobius Solutions, ancien sous-traitant publicitaire de Deezer : il avait conservé après la fin du contrat, et réutilisé pour son propre compte, les données de 46 millions d'utilisateurs, et ne tenait pas de registre de ses traitements.

Les transferts de données hors de l'Union

Un transfert est la communication de données personnelles vers un pays situé hors de l'Espace économique européen (les 27 pays de l'Union, plus l'Islande, le Liechtenstein et la Norvège), y compris par un simple accès à distance depuis ce pays. Le RGPD l'interdit, sauf si l'un des mécanismes suivants l'encadre (articles 44 à 49) :

Le cas des États-Unis est un feuilleton. La Cour de justice de l'Union européenne a annulé deux cadres successifs à cause de la surveillance de masse américaine : le Safe Harbor (arrêt Schrems I, 2015) et le Privacy Shield (arrêt Schrems II, 16 juillet 2020). Le troisième, le Data Privacy Framework, a été adopté par la Commission le 10 juillet 2023. Le Tribunal de l'Union européenne a rejeté le recours en annulation déposé par le député français Philippe Latombe le 3 septembre 2025 ; un pourvoi est pendant devant la Cour de justice. Un transfert vers une entreprise américaine certifiée est donc licite, mais le cadre reste fragile.

Pour aller plus loin. La conduite d'une AIPD, avec ses scénarios de risque et sa matrice, est détaillée dans le chapitre AIPD : l'analyse d'impact du RGPD du cours Analyse de risques.

Exercices

Exercice 1 sur 5 Une fiche de registre Réussi À revoir

Rédige la fiche du registre de Cèdre Habitat pour le traitement « Vidéoprotection des parkings souterrains » : 24 caméras dans trois parkings, images consultées par le responsable sécurité et, sur réquisition, transmises à la police. Remplis toutes les rubriques.

Voir la réponseMasquer la réponse de l'exercice 1

Rubrique	Contenu
Responsable et DPO	Cèdre Habitat ; dpo@cedre-habitat.fr
Finalité	Sécurité des personnes et des biens dans les parkings (prévention et constatation des dégradations et des vols)
Base légale	Intérêt légitime (protection des biens et des personnes)
Personnes concernées	Locataires, visiteurs, prestataires, salariés de passage
Données	Images vidéo, date et heure
Destinataires	Responsable sécurité (habilité) ; forces de l'ordre sur réquisition
Sous-traitants	Mainteneur du système de vidéoprotection
Transferts hors Union	Aucun
Durée de conservation	Quelques jours, 30 jours au maximum, sauf extraction pour une procédure
Sécurité	Enregistreur dans un local fermé, accès nominatif et journalisé, mots de passe robustes, chiffrement des exports

Points de vigilance : panneaux d'information à l'entrée des parkings, caméras qui ne filment pas les portes d'accès aux logements, aucune caméra orientée vers un poste de travail permanent.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 5 AIPD ou pas ? Réussi À revoir

Pour chaque projet, dis combien de critères sont remplis et si une AIPD est nécessaire.

1. Un formulaire de contact sur le site.
2. Un algorithme qui attribue un score de risque d'impayé à chaque candidat à un logement et classe les dossiers.
3. Un logiciel qui enregistre en continu l'activité des postes des téléconseillers du centre d'appels (applications ouvertes, temps d'inactivité).
4. Des capteurs connectés dans les logements de personnes âgées, qui alertent la famille en cas de chute.

Voir la réponseMasquer la réponse de l'exercice 2

1. Aucun critère : pas d'AIPD.
2. Évaluation ou notation (1), données financières à caractère hautement personnel (4), traitement à grande échelle (5), et potentiellement exclusion d'un service (9) : AIPD obligatoire. Si la décision était entièrement automatisée, l'article 22 s'appliquerait aussi.
3. Surveillance systématique (3) de personnes vulnérables au sens du RGPD, les salariés face à leur employeur (7) : AIPD obligatoire ; la surveillance constante de l'activité des salariés figure d'ailleurs sur la liste de la CNIL. La proportionnalité du dispositif est très douteuse (chapitre 11).
4. Données de santé (4), personnes vulnérables (7), technologie innovante (8), surveillance (3) : AIPD obligatoire.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 5 DPO obligatoire ? Réussi À revoir

Dans quels cas un DPO doit-il être désigné ?

1. Une commune de 4 000 habitants.
2. Une PME de 300 salariés qui fabrique des meubles.
3. Une start-up de 12 salariés qui édite une application de suivi de grossesse utilisée par 200 000 femmes.
4. Une entreprise de 40 salariés qui vend des profils publicitaires construits à partir de la navigation de millions d'internautes.

Voir la réponseMasquer la réponse de l'exercice 3

1. Oui : organisme public. Elle peut mutualiser son DPO avec d'autres communes.
2. Non en principe : ses activités de base ne sont ni un suivi à grande échelle ni des données sensibles. La taille ne compte pas. La désignation reste recommandée.
3. Oui : activité de base = traitement à grande échelle de données de santé. Le nombre de salariés est indifférent.
4. Oui : activité de base = suivi régulier et systématique à grande échelle.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 5 Un contrat de sous-traitance Réussi À revoir

Le contrat de Cèdre Habitat avec l'éditeur du logiciel de tickets en mode SaaS contient une seule phrase sur les données : « Le prestataire s'engage à respecter la réglementation applicable en matière de données personnelles. » Est-ce suffisant ? Que faut-il ajouter ?

Voir la réponseMasquer la réponse de l'exercice 4

Non. L'article 28 impose un contrat qui précise l'objet, la durée, la nature et la finalité du traitement, les données et les personnes concernées, et qui oblige le sous-traitant à : traiter les données uniquement sur instruction documentée ; garantir la confidentialité de son personnel ; mettre en œuvre les mesures de sécurité de l'article 32 ; ne recourir à un sous-traitant ultérieur qu'avec l'autorisation de Cèdre Habitat ; l'aider à répondre aux demandes des locataires, à notifier les violations et à réaliser les AIPD ; supprimer ou restituer les données en fin de contrat ; permettre des audits. Il faut aussi vérifier où sont hébergées les données et par qui (transferts hors Union) et prévoir la réversibilité (chapitre 14).

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 5 sur 5 Un transfert ? Réussi À revoir

L'éditeur du logiciel de gestion locative est français, ses serveurs sont à Roubaix, mais son support de niveau 2 est assuré par une filiale au Maroc, qui se connecte à distance à la base de Cèdre Habitat pour diagnostiquer les incidents. Y a-t-il un transfert hors de l'Union ? Comment l'encadrer ?

Voir la réponseMasquer la réponse de l'exercice 5

Oui : l'accès à distance depuis un pays tiers est un transfert, même si les serveurs restent en France. Le Maroc ne bénéficie pas d'une décision d'adéquation. Le transfert doit être encadré, par exemple par des clauses contractuelles types entre l'éditeur et sa filiale (module sous-traitant vers sous-traitant), ou par des règles d'entreprise contraignantes si le groupe en a. L'éditeur doit avoir obtenu l'autorisation de Cèdre Habitat pour ce sous-traitant ultérieur, et le transfert doit figurer au registre et dans l'information des locataires. Des mesures complémentaires réduisent le risque : accès ponctuels, tracés et validés, sur des données pseudonymisées quand c'est possible.

Tu avais trouvé ?

Oui, j'avais bonPas encore