Cartographie des données et ROPA : savoir quelles données vous détenez

Points clés

Réponse rapide : La cartographie des données identifie toutes les données personnelles dans votre organisation. Le ROPA (Registre des activités de traitement) documente cela formellement. Requis pour les entreprises de 250+ employés, ou toute entreprise traitant des données à haut risque. Essentiel pour répondre aux demandes des personnes concernées.

Qu'est-ce que la cartographie des données ?

La cartographie des données est le processus d'identification et de documentation de toutes les données personnelles dans votre organisation :

Quelles données :

• Catégories de données personnelles
• Données de catégories particulières
• Niveaux de sensibilité des données

Où résident les données :

• Bases de données et systèmes
• Services tiers
• Localisations physiques
• Sauvegardes et archives

Comment circulent les données :

• Points de collecte
• Transferts internes
• Partage externe
• Transferts internationaux

Pourquoi les données existent :

• Finalités du traitement
• Base légale
• Justification business

Pourquoi la cartographie des données est importante

Processus de cartographie des données

Étape 1 : Inventorier vos systèmes

Listez chaque système qui traite des données personnelles :

Étape 2 : Identifier les catégories de données

Pour chaque système, documentez les types de données :

Étape 3 : Cartographier les flux de données

Documentez comment les données circulent :

Sources de collecte :

• Formulaires web
• Application mobile
• Intégrations API
• Imports de tiers
• Saisie manuelle

Traitement interne :

• Base de données principale
• Traitement analytics
• Systèmes de sauvegarde
• Environnements de développement
• Accès des employés

Partage externe :

• Processeur de paiement
• Service email
• Fournisseur analytics
• Infrastructure cloud
• Partenaires business

Points de sortie :

• Exports utilisateurs
• Réponses API
• Rapports
• Suppressions de données

Étape 4 : Documenter la base légale

Pour chaque activité de traitement, identifiez la base légale :

Registre des activités de traitement (ROPA)

Le ROPA est une exigence formelle du RGPD documentant toutes les activités de traitement.

Qui a besoin d'un ROPA ?

Organisations de 250+ employés : Toujours requis

Organisations de moins de 250 employés : L'exemption est perdue si UNE SEULE des conditions suivantes s'applique (selon l'article 30(5)) :

Important : Ces conditions sont disjonctives (OU) : en remplir une seule signifie que le ROPA est requis. Vous n'avez pas besoin de remplir toutes les conditions.

Réalité pratique : La plupart des startups ont besoin d'un ROPA parce que leur traitement est régulier (non occasionnel), ce qui seul déclenche l'exigence.

Exigences ROPA pour les responsables de traitement

Template ROPA

1Registre des activités de traitement
2────────────────────────────────────────────────────────
3
4Activité de traitement : Gestion des comptes utilisateurs
5────────────────────────────────────────────
6
7Responsable : [Nom de votre entreprise]
8Contact : privacy@votreentreprise.com
9DPO : [Si applicable]
10
11Finalité :
12Gestion des comptes utilisateurs et fourniture de l'accès aux services
13
14Catégories de personnes concernées :
15- Utilisateurs inscrits
16- Utilisateurs en essai
17
18Catégories de données personnelles :
19- Nom
20- Adresse email
21- Mot de passe (hashé)
22- Préférences de compte
23- Historique d'utilisation
24
25Base légale : Contrat
26
27Destinataires :
28- Interne : Équipe support client, équipe engineering
29- Externe : AWS (hébergement), Auth0 (authentification)
30
31Transferts internationaux :
32- AWS région US-East
33- Garantie : Clauses contractuelles types
34
35Durée de conservation :
36- Comptes actifs : Durée du compte
37- Comptes fermés : 30 jours puis suppression
38- Logs d'audit : 12 mois
39
40Mesures de sécurité :
41- Chiffrement au repos et en transit
42- Contrôles d'accès et MFA
43- Évaluations de sécurité régulières

Outils et techniques de cartographie des données

Approche manuelle (petites équipes)

Approche automatisée (équipes en croissance)

Maintenir votre cartographie des données

Revues régulières

Déclencheurs de mise à jour

• Nouvelles fonctionnalités produit collectant des données
• Nouvelles intégrations tierces
• Nouveaux systèmes employés
• Fusions ou acquisitions
• Expansion géographique
• Nouvelles finalités de traitement

Gestion du changement

Changement proposé :

• Quelles données seront traitées ?
• Pourquoi ce traitement est-il nécessaire ?
• Où les données seront-elles stockées/traitées ?
• Qui y aura accès ?

Évaluation :

• Est-ce une nouvelle activité de traitement ?
• Cela change-t-il un traitement existant ?
• Une AIPD est-elle requise ?
• Mise à jour de la politique de confidentialité nécessaire ?

Mise en œuvre :

• Mettre à jour le ROPA
• Mettre à jour la politique de confidentialité si nécessaire
• Implémenter les mesures de sécurité
• Former le personnel concerné
• Documenter le changement

Revue :

• Vérifier la mise en œuvre
• Vérifier l'exactitude de la documentation
• Surveiller les problèmes

Défis courants de la cartographie des données

Défi 1 : Shadow IT

Problème : Employés utilisant des outils non autorisés
Solution : Audits réguliers, politiques claires, processus d'approbation facile

Défi 2 : Systèmes legacy

Problème : Vieux systèmes avec données peu claires
Solution : Audit systématique, plan de migration ou documentation

Défi 3 : Données de tiers

Problème : Incertitude sur ce que font les fournisseurs des données
Solution : Réviser les contrats, envoyer des questionnaires, exiger des DPA

Défi 4 : Données non structurées

Problème : Données personnelles dans les emails, documents, etc.
Solution : Politiques de gestion des données, nettoyage régulier

Défi 5 : Rester à jour

Problème : La cartographie devient rapidement obsolète
Solution : Intégrer les mises à jour dans le processus de gestion du changement

Checklist de cartographie des données

Inventaire des systèmes :

• Tous les systèmes de production listés
• Environnements de développement/test inclus
• Services tiers documentés
• Outils internes inventoriés
• Enregistrements physiques/papier considérés

Catégories de données :

• Tous les types de données personnelles identifiés
• Données de catégories particulières signalées
• Données sensibles mises en évidence
• Sources des données documentées

Flux de données :

• Points de collecte cartographiés
• Traitement interne documenté
• Partage externe identifié
• Transferts internationaux notés

ROPA :

• Toutes les activités de traitement enregistrées
• Base légale documentée
• Durées de conservation spécifiées
• Mesures de sécurité décrites

Comment Bastion peut vous aider

La cartographie des données peut être complexe, particulièrement pour les organisations avec des données réparties sur plusieurs systèmes et fournisseurs. Travailler avec des partenaires expérimentés aide à assurer une couverture complète sans surcharger votre équipe.

Avoir une expertise supplémentaire aide avec le gros du travail de cartographie initiale et s'assure que rien n'est oublié, évitant les lacunes qui surgissent souvent lors des audits ou en répondant aux demandes des personnes concernées.

Vous cherchez de l'aide pour la cartographie des données et la documentation ROPA ? Parlons-en →