Accountability : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
L'accountability, ou principe de responsabilité, oblige l'organisme non seulement à respecter le RGPD, mais aussi à être en mesure de démontrer cette conformité à tout moment, par une documentation et des mesures adaptées.
Ce qu'il faut comprendre
Avant le RGPD, la conformité reposait largement sur des formalités préalables auprès de la CNIL. Depuis 2018, la logique est inversée : l'organisme se contrôle lui-même et doit garder la trace de ses choix. C'est le sens du terme anglais accountability, traduit par « responsabilité » dans la version française du texte.
La preuve repose sur un ensemble de documents tenus à jour : registre des traitements, analyses d'impact lorsqu'elles sont requises, contrats avec les sous-traitants, preuves du consentement, procédures de gestion des droits et des violations, registre des violations, actions de sensibilisation du personnel, analyses de mise en balance pour l'intérêt légitime. Les mesures doivent être proportionnées à la taille de l'organisme et aux risques.
Erreur fréquente : produire une documentation une fois puis l'oublier. Un registre qui ne reflète plus les outils réellement utilisés ne prouve rien. Autre confusion : une attestation, un label ou une certification ne remplacent pas cette démonstration ; ils peuvent seulement y contribuer. La CNIL apprécie ce qui est réellement appliqué sur le terrain, pas seulement ce qui est écrit dans les procédures.
Exemple concret
Lors d'un contrôle, la CNIL demande à une association médico-sociale de justifier sa conformité. Le directeur présente le registre mis à jour, l'analyse d'impact sur le dossier usager informatisé, les contrats de sous-traitance avec l'éditeur et l'hébergeur, le registre des violations et la liste des salariés formés. La démonstration est documentée et datée.
Textes de référence
- RGPD, art. 5.2
- RGPD, art. 24
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
