Vos procédures décrivent-elles ce qui se passe vraiment ? Voici comment repérer les écarts, réunir les bons justificatifs et préparer un dossier utilisable lors d’un contrôle.
Besoin d’appliquer ces points à votre structure ?
Échanger sur mon casUn registre des activités de traitement peut être complet au moment de sa rédaction puis devenir partiellement dépassé. Un outil est remplacé, un prestataire intervient, une finalité change ou un nouveau type de données est utilisé : la réalité opérationnelle évolue parfois plus vite que la documentation.
En santé, cette question est particulièrement importante. Les organismes doivent être capables non seulement de décrire leurs traitements, mais aussi d'expliquer leur cadre, leurs responsabilités et les mesures prises pour respecter les obligations applicables.
La conformité documentaire et la conformité des pratiques ne s'opposent pas. Elles doivent se soutenir mutuellement : le registre permet d'identifier le périmètre, tandis que les échanges avec les métiers et les vérifications périodiques permettent de savoir si la description reste exacte.
Repérer les écarts entre les documents et le terrain
Le premier réflexe consiste à confronter les descriptions aux pratiques. Le DPO peut rencontrer les responsables des activités, consulter les procédures pertinentes et vérifier que les catégories de données, les finalités, les prestataires, les destinataires et les durées annoncées correspondent aux opérations réellement effectuées.
Un établissement peut ainsi avoir ajouté un prestataire de télésuivi, modifié ses pratiques de conservation ou ouvert un nouveau projet de recherche sans que toutes les pièces documentaires aient été revues. Le travail ne consiste pas à présumer une non-conformité : il consiste à identifier, qualifier puis traiter l'écart éventuel.
Pour conserver une méthode proportionnée, mieux vaut planifier des revues ciblées et documenter les décisions importantes plutôt que multiplier les formulaires sans usage défini.
Une méthode simple pour renforcer la démonstration
Une démarche utile peut être organisée autour de cinq questions. Elles peuvent être reprises lors d'un comité de suivi, d'un audit interne ou de la préparation d'un contrôle.
- PÉRIMÈTRE — quels traitements, services, prestataires et catégories de données sont réellement concernés ?
- RESPONSABILITÉS — qui tient les informations à jour, qui décide et qui valide les mesures appropriées ?
- JUSTIFICATION — quels textes, procédures et analyses soutiennent les choix effectués ?
- SUIVI — comment les évolutions des usages, des outils et des risques sont-elles détectées puis examinées ?
- PIÈCES — quelles informations utiles peut-on retrouver pour expliquer les actions et les arbitrages réalisés ?
L'objectif n'est pas d'obtenir un score universel ni de promettre une conformité automatique. Les vérifications doivent être adaptées aux traitements et à leurs risques ; une appréciation juridique ou organisationnelle ne peut pas être remplacée par un simple indicateur.
Préparer un contrôle : un dossier cohérent plutôt qu'une accumulation de fichiers
Lorsqu'une autorité ou un auditeur demande des explications, une organisation doit pouvoir présenter un ensemble compréhensible : le périmètre concerné, la documentation pertinente, les décisions prises, les personnes responsables et les mesures effectivement mises en œuvre.
Le registre, les procédures, les contrats, les analyses d'impact et les comptes rendus de revue peuvent y contribuer. Leur valeur dépend de leur exactitude, de leur pertinence et des circonstances du dossier, et non de leur simple existence.
Les DPO de la Santé accompagnent les acteurs du secteur dans l'organisation de cette démarche : identification des traitements, analyse des responsabilités, préparation des revues et amélioration de la documentation. Pour examiner votre situation, vous pouvez nous contacter.
Pour approfondir : les règles, les décisions et les sources
Ce que demande réellement le RGPD
Le RGPD impose au responsable du traitement de respecter les principes applicables et d'être en mesure de démontrer ce respect (article 5, paragraphe 2). L'article 24 lui demande de mettre en œuvre des mesures appropriées, en tenant compte notamment de la nature des traitements et des risques. Le registre de l'article 30 est l'un des instruments de cette démarche, mais ne remplace ni les mesures opérationnelles ni leur suivi.
Selon les traitements, d'autres obligations s'ajoutent : analyse d'impact relative à la protection des données lorsque les conditions de l'article 35 sont remplies, organisation de la sécurité et gestion des violations de données conformément aux dispositions applicables, sans oublier l'information des personnes et la gestion des droits.
Aucun de ces articles n'impose une architecture logicielle unique. Une organisation peut recourir à différents outils et méthodes, à condition que ses mesures et ses justificatifs soient adaptés à sa situation réelle.
IA et automatisation : ne pas confondre une fiche rédigée et un contrôle achevé
Les outils de rédaction assistée et les systèmes d'IA peuvent aider à préparer un inventaire, une synthèse ou une première analyse. Leur utilisation ne dispense pas l'organisation de vérifier l'exactitude des informations, la pertinence des sources et les décisions prises par les personnes compétentes.
Une réponse fluide, un document généré ou un indicateur de suivi ne suffisent pas, à eux seuls, à démontrer la conformité d'un traitement. La même vigilance doit être appliquée à tout prestataire : quelles opérations sont couvertes, quelles limites sont annoncées, quelles vérifications ont été réellement réalisées et quels justificatifs sont disponibles ?
Cette exigence est indépendante des marques, des logiciels et de leurs choix techniques. Ce qui importe au DPO est la correspondance entre les obligations identifiées, les pratiques constatées et les éléments permettant de justifier les décisions.
Applications concrètes dans les établissements de santé
Pour une étude clinique, les questions à documenter peuvent concerner le protocole, les acteurs, les traitements de données associés, la méthodologie de référence éventuellement pertinente et la nécessité d'une analyse d'impact. Pour un dispositif connecté ou une plateforme de télésuivi, il faut également examiner les rôles de chaque intervenant, les flux de données et les engagements contractuels.
Chaque situation appelle son propre examen. Une qualification valable pour un projet ne s'étend pas automatiquement à une autre activité, même au sein du même établissement. Les échanges entre la direction, les équipes métier, la DSI, le service juridique et le DPO sont donc essentiels.
Sources officielles
Recevoir les prochains décryptagesDes analyses pratiques sur les données de santé et l’IA.
Partager cet article
Information générale. L’application à votre situation nécessite un examen de votre projet.