Demandez à une entreprise de logiciels ses documents RGPD et la première réponse est en général une politique de confidentialité et un contrat de sous-traitance envoyé par un client. Le document que le règlement nomme en réalité en premier, et que l'autorité de contrôle demande en premier, n'est ni l'un ni l'autre : c'est le registre des activités de traitement de l'article 30, et la croyance que les entreprises de moins de 250 personnes n'en ont pas besoin est la mauvaise lecture la plus coûteuse du texte. Cet article lit l'article 30 point par point, dit à quoi sert chaque champ, et vous remet la page qui rédige le registre.

Pourquoi la dispense à 250 personnes n'atteint jamais un produit en service

L'article 30, paragraphe 5, dit que les obligations des paragraphes 1 et 2 ne s'appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés. La phrase continue : sauf si le traitement qu'elle effectue est susceptible de comporter un risque pour les droits et libertés des personnes concernées, s'il n'est pas occasionnel, ou s'il porte sur des catégories particulières de données visées à l'article 9, paragraphe 1, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10. Trois conditions, dont une seule suffit à rétablir l'obligation.

La deuxième tranche la question pour le logiciel. Un produit en service traite des données à caractère personnel chaque jour où le service tourne : connexions, comptes, tickets de support, télémétrie, les données des utilisateurs finaux des clients dans le produit. Rien de tout cela n'est occasionnel. La dispense a été écrite pour la boulangerie qui tient une liste d'envoi de Noël, pas pour une entreprise dont le produit est une activité de traitement. La détermination des obligations active le registre pour toute entreprise qui répond « non » à « le traitement est-il occasionnel », quel que soit l'effectif, et c'est la lecture dont part cet article.

Les sept champs du registre d'un responsable, article 30, paragraphe 1

L'article 30, paragraphe 1, exige de chaque responsable du traitement et, le cas échéant, de son représentant, un registre des activités de traitement effectuées sous sa responsabilité, par écrit, y compris sous forme électronique (paragraphe 3). Le registre contient sept choses :

(a) Le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données. Un bloc, réutilisé sur chaque registre ; il change lorsque vous désignez un délégué ou un représentant.

(b) Les finalités du traitement. Une finalité par registre est la discipline qui garde le reste honnête : « comptes clients et facturation », « recrutement », « analyse d'usage du produit » sont trois registres, pas un.

(c) Une description des catégories de personnes concernées et des catégories de données à caractère personnel. Les administrateurs et utilisateurs finaux des clients ; les salariés et les candidats ; les champs que vous détenez sur chacun : identité, contact, compte, usage, paiement.

(d) Les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales. C'est la liste de vos sous-traitants et des autres prestataires du client à qui vous transmettez des données ; c'est la même liste avec laquelle l'article 28 vous fait contracter.

(e) Le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa, les documents attestant de l'existence de garanties appropriées. Pour une entreprise sur un cloud dont le siège est aux États-Unis, c'est le champ où, par transfert, la décision d'adéquation, les clauses contractuelles types ou la dérogation sont nommées.

(f) Dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données. Les données de compte pour la durée du contrat plus la conservation que votre droit de la facturation impose ; les journaux quatre-vingt-dix jours ; les données des candidats six mois. Le calendrier de conservation vit ici, par catégorie.

(g) Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 32, paragraphe 1. Pas tout le SMSI : un paragraphe qui dit chiffrement au repos et en transit, contrôle d'accès, sauvegardes, journalisation, et le certificat que vous détenez.

Les quatre champs du registre d'un sous-traitant, article 30, paragraphe 2

L'article 30, paragraphe 2, exige de chaque sous-traitant et, le cas échéant, de son représentant, un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable du traitement. Pour un SaaS, un registre par client ou par segment de clients, avec quatre champs :

(a) Le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit, ainsi que du représentant du responsable du traitement ou du sous-traitant et du délégué à la protection des données.

(b) Les catégories de traitements effectués pour le compte de chaque responsable du traitement : stockage, hébergement, analyse, accès du support, sauvegardes.

(c) Le cas échéant, les transferts vers un pays tiers ou à une organisation internationale, avec les mêmes documents que dans le registre du responsable.

(d) Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 32, paragraphe 1.

Le registre du sous-traitant est le document sur lequel les registres de vos clients s'appuient. Lorsqu'un client bancaire remplit son propre champ (d) avec votre nom, les catégories et les transferts qu'il écrit sont ceux que vous lui avez indiqués dans ce registre et dans le contrat de l'article 28, paragraphe 3 ; les deux documents doivent concorder.

Ce que l'ISO 27701 prouve, champ par champ

L'ISO/IEC 27701 étend un système de management ISO 27001 à la vie privée, et son annexe A (responsables) et son annexe B (sous-traitants) portent une mesure pour les enregistrements liés au traitement des données personnelles, A.7.2.8 et B.8.2.6 respectivement, dont la mise en œuvre est exactement le registre ci-dessus. Les champs des transferts sont prouvés par les mesures de transfert, A.7.5.1 à A.7.5.4 pour un responsable et B.8.5.1 et B.8.5.2 pour un sous-traitant ; le champ de la conservation par A.7.4.7 ; les destinataires par l'enregistrement des communications de A.7.5.4. La page qui rédige le registre nomme la mesure derrière chaque champ, dans la lecture de StandardOS ; le règlement ne nomme aucune norme et n'accorde aucune présomption de conformité, et le registre est ce que lit l'autorité de contrôle, pas le certificat.

Le rédiger

La page du registre des traitements demande le rôle, l'entreprise, l'activité, puis une saisie par point du paragraphe, étiquetée du point textuel dans votre langue. Le résultat est le registre sous forme de document, à copier dans votre système ou à télécharger en Markdown. Un registre par activité ; cinq à dix registres couvrent une entreprise de logiciels typique, et le premier est celui auquel toute autre obligation du RGPD renvoie : l'analyse d'impact se fait par activité du registre, la notification de violation nomme les catégories de personnes concernées et de données du registre, et le fondement du transfert de chaque sous-traitant ultérieur est écrit dans le champ (e).