Être conforme ne suffit pas
Le règlement impose la responsabilité : vous devez être en mesure de démontrer votre conformité. Une entreprise parfaitement respectueuse mais incapable de le prouver est traitée, lors d'un contrôle, comme une entreprise non conforme.
C'est déroutant, et c'est pourtant la règle qui structure tout le travail décrit ici.
Ce que contient un dossier suffisant pour une PME
Six éléments. Aucun ne demande de juriste, tous demandent d'être à jour.
Le registre des traitements. Vu au premier chapitre. C'est la pièce maîtresse, la première demandée, et son absence est un manquement à elle seule.
Les mentions d'information. Ce que vous affichez aux personnes : sur le site, sur les formulaires, dans les contrats de travail. Conservez les versions successives et leurs dates.
Les contrats de sous-traitance. Chaque prestataire qui traite des données pour vous doit être lié par un contrat comportant les clauses prévues. Hébergeur, éditeur de logiciel, prestataire de paie, société de maintenance.
Les preuves de consentement, quand c'est la base retenue.
Le registre des violations. Toutes, y compris celles que vous n'avez pas eu à notifier, avec la justification de cette décision. Une violation non notifiée sans trace de l'analyse est le pire des cas.
Les traces de vos décisions. Une analyse d'impact quand elle est requise, une note expliquant pourquoi vous avez estimé qu'elle ne l'était pas, le compte rendu d'une réunion où une durée de conservation a été fixée.
La forme compte moins que la fraîcheur
Un dossier tenu dans un tableur partagé et à jour vaut mieux qu'un classeur relié de deux cents pages datant de trois ans. Le contrôle porte sur la réalité de votre organisation, et un document qui décrit un fonctionnement abandonné se retourne contre vous : il prouve que vous saviez.
La revue annuelle, en deux heures
Une fois par an, quatre questions posées à voix haute :
- Y a-t-il un nouvel outil ou un nouveau prestataire depuis l'an dernier ?
- Une finalité a-t-elle changé ?
- Les durées de conservation annoncées sont-elles réellement appliquées ?
- Qui est parti, et ses accès ont-ils été retirés ?
La troisième question est celle qui révèle le plus d'écarts. Annoncer une conservation de trois ans et garder tout depuis dix ans est un manquement que personne ne remarque en interne, et que le premier contrôle voit immédiatement.
À retenir
La preuve fait partie de la conformité. Six pièces, tenues à jour, valent mieux qu'un document exhaustif et périmé. Une revue annuelle de deux heures suffit à tenir le dossier, à condition qu'elle vérifie ce qui est réellement appliqué.