Cartographie des traitements : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
La cartographie des traitements est l'inventaire de tous les usages de données personnelles d'un organisme, avec les services, logiciels, prestataires et flux concernés. Elle sert de point de départ à la mise en conformité et alimente le registre.
Ce qu'il faut comprendre
Le terme ne figure pas dans le RGPD. La cartographie est une méthode de travail : on interroge chaque service, on liste les logiciels et les fichiers, on identifie les prestataires et on suit les flux de données, de leur collecte à leur suppression. Le résultat permet de savoir qui traite quoi, où, pourquoi et avec qui.
Elle se distingue du registre, qui est un document obligatoire au contenu fixé par l'article 30. La cartographie est plus large et plus opérationnelle : elle peut inclure des schémas de flux, la localisation des serveurs, les droits d'accès ou les points de fragilité. Le registre en est la synthèse réglementaire.
Une bonne cartographie révèle souvent des traitements oubliés : un tableur partagé, une messagerie instantanée utilisée par les équipes, une application gratuite, des données conservées sans limite. Elle prépare les décisions suivantes : durées de conservation, contrats avec les prestataires, analyses d'impact et mesures de sécurité. Erreur fréquente : se limiter aux logiciels officiels. Les usages informels doivent aussi être recensés.
Exemple concret
Un groupe de trois EHPAD lance sa mise en conformité. Le référent interroge l'accueil, les soins, la cuisine, les ressources humaines et l'animation. Il découvre que les photos des résidents sont partagées sur une messagerie personnelle et que les plannings de soins sont exportés dans un tableur non protégé. Ces constats alimentent le registre et le plan d'actions.
Textes de référence
- RGPD, art. 30
- RGPD, art. 5, 2)
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
