Être conforme au RGPD ne suffit pas : il faut pouvoir le montrer. Savoir comment prouver sa conformité RGPD revient à savoir quels documents présenter, et à qui : la CNIL, un client, un investisseur. Avec des tableaux de bord à jour et des documents exportables, la réponse est prête avant la demande.
Que faut-il pouvoir prouver ?
Le RGPD ne demande pas seulement de respecter ses règles : le responsable de traitement doit être en mesure de démontrer qu'il les respecte (article 5 et article 24). La preuve n'est donc pas un document unique. C'est un dossier, que le tableau résume.
| Obligation | Preuve à présenter | Texte |
|---|---|---|
| Tenir un registre des traitements | Le registre, à jour | Article 30 |
| Encadrer les sous-traitants | Les contrats de sous-traitance signés | Article 28 |
| Informer les personnes | Les mentions d'information et la politique de confidentialité | Article 13 |
| Répondre aux demandes d'exercice des droits | Le suivi des demandes reçues et des réponses apportées | Article 12 |
| Documenter les violations de données | Le registre des violations | Article 33 |
| Analyser les traitements à risque élevé | Les analyses d'impact réalisées | Article 35 |
| Sécuriser les données | Les mesures de sécurité en place et la procédure qui les teste | Article 32 |
| Désigner un DPO, lorsque c'est obligatoire | La désignation effectuée auprès de la CNIL | Article 37 |
Une mise en conformité RGPD bien menée produit ces preuves au fil de son déroulement, pas après coup et dans l'urgence.
Dans quelles situations faut-il prouver sa conformité RGPD ?
Trois situations reviennent.
Un contrôle de la CNIL. Elle demande les documents qui établissent la conformité, à commencer par le registre des traitements, que l'entreprise doit lui présenter sur demande. Notre guide Contrôle CNIL : déroulé, droits et préparation liste les documents à préparer. C'est l'un des cas où nos juristes se déplacent sur site.
La demande d'un client ou un appel d'offres. Les pièces que les clients et les donneurs d'ordre réclament le plus souvent sont les contrats de sous-traitance (DPA), les politiques de confidentialité, le registre des sous-traitants, les politiques de sécurité et un questionnaire de conformité et de sécurité informatique. Ce questionnaire, la juriste le remplit pour vous. Elle fournit les documents demandés et échange avec le donneur d'ordre si nécessaire. Les pièces s'exportent depuis la plateforme. Ce sont celles d'une conformité RGPD tenue à jour.
Une cession ou une levée de fonds. L'acquéreur ou l'investisseur examine la conformité de l'entreprise avant de s'engager. Certaines entreprises nous contactent pour cette raison : leur vente exige qu'elles soient conformes.
Comment obtenir une attestation de conformité RGPD ?
Chez RGPD Start, l'attestation de conformité RGPD est remise à la fin de l'accompagnement, à condition que votre taux de conformité dépasse 85 %. Elle n'est donc pas délivrée d'office : elle vient au terme d'une démarche menée avec une juriste dédiée.
Elle s'appuie sur un dossier que vous pouvez montrer. Le registre, les contrats de sous-traitance, les analyses d'impact et les procédures restent consultables dans la plateforme, et tout est exportable. Vous pouvez joindre l'attestation à un dossier d'appel d'offres ou la transmettre à un client, avec les pièces qui la justifient.
Notre équipe développe par ailleurs un Trust Center : une page placée sur le site de chaque client, qui exposera sa conformité en temps réel à ses partenaires et à ses clients. Très bientôt disponible.
Notre article Attestation RGPD : ce que vaut vraiment ce document passe en revue les différents types d'attestation.
Comment prouver sa conformité rapidement avec RGPD Start ?
Les tableaux de bord de la plateforme affichent l'état de votre conformité à tout moment. Quand un client, un donneur d'ordre ou la CNIL demande une preuve, vous n'avez pas de dossier à reconstituer : tout est déjà réuni, et tout est exportable.
La plateforme réunit le registre des traitements, les analyses d'impact, les contrats de sous-traitance, le suivi des demandes d'exercice des droits, les procédures de gestion des violations et les documents publiés sur votre site. Chaque modification est tracée et horodatée : vous pouvez montrer l'état de votre conformité à une date donnée, et le travail mené dans la durée.
La juriste dédiée tient ces preuves à jour et répond aux demandes extérieures : questionnaire d'un donneur d'ordre, audit d'un client, question d'un investisseur. L'audit gratuit est la première étape, dans le cadre de la solution RGPD de RGPD Start.
À retenir
- Le RGPD impose d'être en mesure de démontrer sa conformité : la preuve est un dossier, composé du registre, des contrats de sous-traitance, des mentions d'information, des analyses d'impact et des procédures.
- Lors d'un contrôle, la CNIL demande les documents qui établissent la conformité, à commencer par le registre des traitements.
- Les clients et donneurs d'ordre réclament surtout les contrats de sous-traitance, les politiques de confidentialité et de sécurité, le registre des sous-traitants et un questionnaire de conformité.
- La plateforme RGPD Start affiche l'état de la conformité dans des tableaux de bord et permet de tout exporter, pour répondre rapidement à un client, à un appel d'offres ou à la CNIL.
- RGPD Start remet son attestation à la fin de l'accompagnement, à condition que le taux de conformité dépasse 85 %.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- AccountabilityL'accountability, ou principe de responsabilité, oblige l'organisme non seulement à respecter le RGPD, mais aussi à être en mesure de démontrer cette conformité à tout moment, par une documentation et des mesures adaptées.
