Savoir quelles données vous détenez, et pourquoi

L’inventaire d’abord

La plupart des organisations découvrent, en faisant l’exercice, qu’elles détiennent bien plus de données personnelles qu’elles ne le pensaient : des exports de CRM sur un partage réseau, des candidatures reçues il y a six ans, une base de prospection dont personne ne sait d’où elle vient, des sauvegardes qui contiennent tout cela indéfiniment.

C’est le point de départ, et le plus utile : quelles données, où, pour quoi faire, pendant combien de temps, et qui y accède. Tout le reste — registre, mentions, procédures — n’est que la mise en forme de cet inventaire.

Les durées, la question qu’on saute

Conserver indéfiniment est le comportement par défaut de tous les systèmes, et c’est le manquement le plus fréquent. Chaque traitement doit avoir une durée de conservation décidée, et surtout appliquée : une durée écrite dans un registre mais jamais mise en œuvre techniquement ne vaut rien le jour où on la vérifie.

C’est la partie où un prestataire technique est utile : purges automatiques, archivage séparé, effacement effectif dans les sauvegardes au terme de leur propre cycle.

Vos sous-traitants, dont nous

Dès que vous confiez des données à un tiers — hébergeur, outil d’emailing, CRM, service d’analyse d’audience — celui-ci est votre sous-traitant, et cela se contractualise. La question qui revient le plus souvent est celle du lieu et du droit applicable : un service opéré par une société soumise à un droit étranger le reste, quel que soit l’endroit où sont ses machines.

Sur ce point, notre position est simple. Vos données sont hébergées en France, sur notre infrastructure, et les seules lois qui s’y appliquent sont françaises et européennes. Vos données vous appartiennent et nous ne les revendons pas.

Les cookies et l’audience

C’est la partie visible, celle qui se vérifie depuis l’extérieur en trente secondes — et donc celle qui expose le plus. Le principe est stable : pas de dépôt de traceur non essentiel avant consentement, un refus aussi simple qu’une acceptation, et un choix qui se retire.

Beaucoup de sites déposent des traceurs qu’ils n’utilisent plus, hérités d’un outil abandonné. Le premier travail consiste souvent à supprimer, pas à demander un consentement de plus.

Ce que nous ne sommes pas

Nous ne sommes pas un cabinet d’avocats. La qualification juridique d’un traitement, l’analyse d’impact quand elle s’impose, la désignation d’un délégué à la protection des données relèvent d’un conseil juridique, et nous vous dirons quand il faut en consulter un.

Ce que nous apportons est l’autre moitié : l’inventaire réel de ce qui existe dans vos systèmes, la documentation qui en découle, et les mesures techniques qui la rendent vraie. Une conformité qui tient sur des documents seuls ne tient pas.