Gouvernance et articulation

Dernière fiche du module, et elle traite ce que les présentations juridiques laissent de côté : qui fait quoi, et comment ne pas construire un dispositif parallèle à celui qui existe déjà.

Le sujet n’a pas de propriétaire naturel

C’est le problème de fond, et il explique pourquoi rien n’avance dans beaucoup d’organisations.

L’informatique le voit comme une question d’outils. La direction comme une question de productivité. Le juridique comme une question de risque. Les ressources humaines comme un sujet des autres. Chacun a raison sur un tiers, et personne ne porte l’ensemble.

Résultat : le sujet est traité quand un incident survient, ce qui est le pire moment.

Une répartition qui fonctionne

Ce que je proposerais dans une organisation de taille moyenne, à adapter selon vos forces.

Qui	Ce qu’il porte
Un référent nommé	L’inventaire, sa mise à jour, la coordination. Une personne, pas un comité
Direction	L’arbitrage budgétaire, la décision sur les usages sensibles, la règle interne
Informatique	Ce qui est déployé, les mises à jour, ce qui s’active par défaut
Juridique ou DPO	Les qualifications difficiles, l’articulation avec la protection des données
RH	La formation, les usages touchant aux personnes, le dialogue social
Achats	Les questions au fournisseur et les clauses contractuelles

Le point non négociable est le premier : une personne nommée, avec du temps identifié. Sans elle, l’inventaire n’est pas tenu à jour, et tout le reste s’effondre en six mois.

Dans une petite structure, cette personne est souvent le dirigeant ou le responsable administratif. C’est très bien, à condition que ce soit écrit.

Brancher sur ce qui existe déjà

L’erreur coûteuse consiste à construire un dispositif parallèle. Presque tout ce dont vous avez besoin existe si vous tenez déjà une démarche de protection des données.

Ce que le texte demande	Où ça se branche
Inventaire des systèmes	Le registre des traitements, une colonne de plus
Analyse des risques pour les personnes	L’analyse d’impact relative à la protection des données
Information des personnes concernées	Vos mentions d’information existantes
Traçabilité des décisions	Vos procédures qualité, quand elles existent
Formation du personnel	Votre plan de développement des compétences
Signalement des incidents	Votre procédure de violation de données

Un point de vigilance tout de même : ce sont deux textes distincts, avec des logiques différentes. L’analyse d’impact sur la protection des données et l’évaluation d’impact sur les droits fondamentaux prévue par ce règlement ne sont pas la même chose et ne se substituent pas l’une à l’autre, même si les travaux se recoupent largement.

Autrement dit : mutualisez les travaux, pas les documents.

L’articulation avec la protection des données

Trois idées qui évitent la confusion la plus fréquente.

Les deux textes s’appliquent en même temps. Un système peut être hors du champ du haut risque et poser un problème sérieux de protection des données, et l’inverse est vrai.

La protection des données s’applique déjà, pleinement, depuis des années. Une organisation qui attend l’échéance d’un texte pour se pencher sur un usage qui décide sur des personnes est déjà exposée aujourd’hui, sur un autre fondement.

Le droit de ne pas subir une décision entièrement automatisée produisant des effets significatifs existe indépendamment. La personne peut demander une intervention humaine, exprimer son point de vue, et contester. C’est souvent ce fondement-là qui sera invoqué en premier, parce qu’il est connu et qu’il est ancien.

La CNIL (cnil.fr) publie des recommandations sur l’IA et reste la référence stable côté données personnelles.

Les sanctions, et pourquoi je n’en fais pas un argument

Question qui vient toujours en fin de journée. Voici ma réponse, et elle est délibérée.

Le règlement prévoit des sanctions à plusieurs niveaux, croissants selon la gravité : le niveau le plus élevé pour les pratiques interdites, un niveau intermédiaire pour les autres manquements aux obligations, un niveau inférieur pour la fourniture d’informations inexactes aux autorités. Les montants sont exprimés en plafond, avec un mécanisme de pourcentage du chiffre d’affaires mondial, et le texte prévoit des dispositions tenant compte de la situation des PME.

Je ne cite pas les chiffres exacts, volontairement. Deux raisons.

Ceux qui circulent sont souvent déformés, sortis de leur contexte de gradation, et servent surtout à vendre de l’accompagnement. Si tu as besoin des montants pour une note de direction, va les lire dans le texte lui-même ou fais-les confirmer par ton conseil : c’est une vérification de dix minutes.

Et surtout, la menace est un mauvais moteur. Une organisation qui agit par peur du montant traite les symptômes, achète des prestations rassurantes, et rate l’essentiel : les deux usages qui posent réellement problème chez elle.

Le bon argument n’est pas la sanction. C’est qu’un tri de candidatures non documenté est indéfendable devant un candidat, devant un juge et devant vos propres salariés, indépendamment de tout règlement.

Ce qui restera vrai dans cinq ans

Les textes évoluent, les calendriers bougent, les autorités s’organisent.

Trois principes ne bougeront pas, et c’est sur eux qu’il faut construire.

Une décision qui concerne une personne doit pouvoir s’expliquer à cette personne.

Un humain compétent doit pouvoir contredire la machine, et l’avoir fait au moins une fois.

Et ce que l’organisation utilise, elle doit savoir qu’elle l’utilise.

Une organisation qui tient ces trois lignes est en bonne posture quelle que soit l’issue des discussions réglementaires. C’est le sens du plan de l’atelier suivant.

Vérifie ta compréhension

Question : votre DPO propose de traiter ce sujet dans le cadre du registre des traitements et des analyses d’impact existantes, sans créer de nouveau dispositif. Bonne approche ?

Réponse : oui pour les travaux, avec une nuance sur les documents. Mutualiser l’inventaire, l’analyse des risques, les mentions d’information et la procédure d’incident est la bonne méthode : c’est la même matière. Mais l’analyse d’impact sur la protection des données et l’évaluation d’impact sur les droits fondamentaux prévue par ce règlement restent deux exercices distincts, l’un ne valant pas l’autre. Et il manque un élément dans sa proposition : le référent nommé, avec du temps identifié, sans quoi l’inventaire ne sera pas tenu à jour.

L’atelier 2 transforme tout ça en un plan d’une page, hiérarchisé et chiffré.