La cartographie des données donne une vue concrète des informations personnelles utilisées par une organisation : leur origine, leur circulation, leurs usages et leur protection. Elle fournit la matière nécessaire pour construire ou actualiser le registre des traitements exigé par le RGPD.
Pour une entreprise, l’enjeu dépasse la documentation : cette démarche aide à repérer les informations superflues, les accès mal maîtrisés et les obligations encore incomplètes. En reliant chaque traitement à ses finalités, à ses responsables et à ses mesures de sécurité, elle rend la conformité réglementaire plus praticable.
A retenir : les repères essentiels de la cartographie des données
- Vision documentée des données personnelles et de leurs usages
- Registre des traitements alimenté par des informations vérifiables
- Risques repérés plus tôt dans les flux de données
- Actions de conformité adaptées aux pratiques de chaque service
Cartographie des données et registre des traitements : établir le lien
Recenser les traitements avant de remplir le registre
Le registre ne se construit pas à partir de suppositions : il doit refléter les activités réellement menées par l’organisation. Selon la CNIL, recenser les traitements permet de faire le point sur les données personnelles manipulées et sur les obligations associées.
Une entreprise fictive de vente en ligne peut ainsi découvrir que les équipes commerciales, les ressources humaines et le service client utilisent des outils différents. L’inventaire des données commence par des échanges avec ces équipes, afin de repérer les formulaires, logiciels, fichiers partagés et prestataires concernés.
Les questions concrètes évitent les oublis fréquents :
- Quelles catégories de données sont collectées et auprès de qui ?
- Dans quel outil sont-elles consultées, conservées ou modifiées ?
- Quels services, partenaires ou sous-traitants y ont accès ?
- À quel moment les données sont-elles supprimées ou anonymisées ?
Décrire les flux et les finalités de traitement
Une fois les activités repérées, la cartographie décrit le parcours des informations, depuis leur collecte jusqu’à leur suppression. Selon la CNIL, la documentation des finalités, des catégories de données et des destinataires permet de structurer le registre.
Pour une commande en ligne, les coordonnées peuvent servir à livrer un achat, tandis que les données de navigation soutiennent une analyse d’audience. Ces usages doivent être distingués : une même personne peut être concernée par plusieurs traitements, soumis à des justifications et durées de conservation différentes.
Le tableau ci-dessous montre comment traduire un parcours opérationnel en informations utiles au registre.
| Étape | Exemple de données | Finalité | Point à documenter |
|---|---|---|---|
| Collecte | Coordonnées du client | Créer un compte | Formulaire et information fournie |
| Stockage | Identifiants de compte | Gérer l’accès au service | Outil et accès autorisés |
| Transmission | Adresse de livraison | Expédier une commande | Destinataire et rôle du prestataire |
| Suppression | Données devenues inutiles | Respecter la durée prévue | Règle d’effacement appliquée |
Construire une cartographie des données exploitable par l’organisation
Organiser les entretiens et vérifier les informations
Après l’inventaire initial, les entretiens permettent de confronter les procédures écrites aux pratiques quotidiennes. Selon les ressources de Digitemis fournies, le cadrage peut réunir les responsables des ressources humaines, du marketing, du commerce et des systèmes d’information.
Le responsable de traitement doit pouvoir expliquer pourquoi les informations sont utilisées et qui intervient dans leur gestion. Le DPO, lorsqu’il est désigné, conseille les équipes et aide à identifier les questions de conformité, sans remplacer les responsables opérationnels dans la description de leurs activités.
Un échange structuré gagne à couvrir les thèmes suivants :
- Finalités poursuivies et base juridique envisagée
- Personnes concernées et catégories de données collectées
- Destinataires, sous-traitants et éventuels transferts internationaux
- Durées de conservation et mesures de sécurité existantes
Transformer le constat en registre et en plan d’action
Les informations recueillies sont ensuite regroupées dans des fiches de traitement, puis comparées aux exigences applicables. Selon la CNIL, cette démarche aide aussi à détecter les traitements susceptibles de nécessiter une analyse d’impact sur la protection des données.
La cartographie ne sert donc pas seulement à décrire : elle rend les écarts visibles et facilite leur priorisation. Si un formulaire demande des renseignements sans lien évident avec son objectif, l’équipe peut vérifier leur nécessité, revoir l’information fournie et adapter les accès.
Le tableau distingue les constats à inscrire des actions possibles, sans présumer qu’un écart existe dans chaque organisation.
| Élément examiné | Question de contrôle | Suite possible |
|---|---|---|
| Finalité | L’usage est-il clairement défini ? | Préciser l’objectif du traitement |
| Données | Chaque catégorie est-elle nécessaire ? | Réduire la collecte si justifié |
| Accès | Les habilitations correspondent-elles aux rôles ? | Revoir les droits d’accès |
| Conservation | Une règle de suppression est-elle documentée ? | Définir et appliquer une échéance |
Ces constats deviennent utiles lorsqu’ils débouchent sur des tâches attribuées et suivies :
- Classer les écarts selon leur effet sur les personnes
- Désigner un interlocuteur pour chaque action corrective
- Fixer une échéance réaliste et conserver les décisions
- Relier les améliorations au registre concerné
Maintenir le registre des traitements à jour
Faire évoluer la cartographie avec les activités
Une cartographie fidèle à une situation ancienne perd rapidement sa valeur lorsqu’un outil, un prestataire ou une finalité change. Un nouveau logiciel de gestion de candidatures, par exemple, peut modifier les données collectées, les personnes autorisées et les durées de conservation.
Pour garder le registre exploitable, l’organisation peut intégrer une vérification lors des projets numériques, des changements de fournisseurs et des évolutions de formulaires. Cette routine évite de traiter la mise à jour comme un exercice exceptionnel réservé aux audits.
Les événements qui justifient souvent une revue sont notamment :
- L’ajout d’un service ou d’une nouvelle finalité
- Le changement d’un outil ou d’un sous-traitant
- La modification des accès ou des mesures de sécurité
- L’évolution des durées de conservation ou des transferts
Rendre l’information accessible aux équipes
Un document centralisé facilite le travail du DPO, des équipes informatiques et des responsables métiers, à condition que chacun sache où trouver les informations pertinentes. La cartographie peut aussi aider lors de l’examen d’une demande d’exercice de droits ou d’un incident touchant des données.
Une petite structure peut commencer avec un tableau partagé et des responsables clairement identifiés, puis choisir un outil plus spécialisé si la complexité augmente. La méthode compte davantage que le logiciel : des informations exactes, compréhensibles et régulièrement vérifiées alimentent un registre réellement utile.
La cartographie devient ainsi un support de décision quotidien, plutôt qu’un simple fichier produit pour répondre à une demande de conformité. Des rôles clairs et des mises à jour déclenchées par les changements maintiennent le registre proche des pratiques réelles.
