RGPD

Le module RGPD regroupe six onglets : Vue d’ensemble, Traitements, Modèles d’activités, DPIA, Droits, Violations. L’écriture est ouverte aux Administrateurs, RSSI et Contributeurs ; l’onglet « Modèles d’activités » est réservé aux Administrateurs, RSSI et Auditeurs. Les modèles relèvent d’une permission distincte que le rôle Contributeur n’a pas : un Contributeur qui n’a pas d’autre rôle (Administrateur, RSSI ou Auditeur) sur une entité de l’organisation ne voit aucun modèle dans « Depuis un modèle », qui affiche « Aucun modèle disponible ».

Registre des traitements

« Nouveau traitement », ou « Depuis un modèle » parmi sept modèles fournis (paie, gestion de la relation client, recrutement, vidéosurveillance, journaux techniques, marketing, médecine du travail), ou un modèle créé par l’organisation. La fiche suit le registre de l’article 30 : identification, données traitées, destinataires (y compris les transferts hors Union européenne), durées de conservation, mesures de sécurité.

Statuts : Brouillon, Actif, En revue, Archivé. Un bandeau recommande une analyse d’impact lorsque la fiche réunit au moins deux critères : données sensibles, plus de 10 000 personnes concernées, personnes vulnérables (mineurs, patients), transfert hors Union européenne sans décision d’adéquation, ou finalité mentionnant un profilage (ou scoring), une surveillance ou une décision automatique.

Le nombre de traitements non archivés, toutes entités de l’organisation confondues, dépend de l’offre : 10 (Free), 50 (Starter), 200 (Business), sans limite en Enterprise et On-Premises.

Le registre s’exporte par le Rapport RGPD (RoPA & DPIA), dans Rapports (PDF ou Excel), disponible lorsque le référentiel RGPD est activé. Il ne liste que les traitements actifs, sauf si vous cochez « Inclure les traitements non actifs (brouillon, en revue) » dans le panneau de génération ; les traitements archivés n’y figurent jamais.

Analyses d’impact (DPIA)

Le cycle d’une analyse : Brouillon, « Démarrer l’analyse » (En cours), « Soumettre à validation » (En attente), puis « Valider », où l’on saisit la décision et l’avis du DPO :

• Autorisé ou Conditionnel : l’analyse est validée ;
• Rejeté : l’analyse est rejetée et la plateforme signale qu’une consultation préalable de la CNIL est requise.

Chaque risque de l’analyse se cote en vraisemblance (1 à 5) et en gravité (1 à 5) ; le score est leur produit : jusqu’à 6 Faible, de 7 à 14 Modéré, 15 et plus Élevé.

Nombre d’analyses par offre, toutes entités confondues et quel que soit leur statut : 10 (Free), 20 (Starter), sans limite à partir de Business. Une analyse rejetée ne peut pas être rouverte depuis l’interface, et une analyse ne se supprime pas.

Demandes d’exercice de droits

Types : accès, rectification, effacement, limitation, portabilité, opposition, décision automatisée. Canaux : e-mail, courrier, formulaire web, oral.

L’échéance est fixée à 30 jours après la réception (et non « un mois » calendaire). « Activer extension (+2 mois) » la porte à 90 jours après la réception, une seule fois.

Pour traiter une demande : « Vérifier l’identité », puis « Passer en traitement », puis « Répondre et clore » (la demande passe au statut Répondue). Une demande encore ouverte peut aussi être rejetée, avec un motif obligatoire.

Pas encore disponible : l’attribution d’une demande à une personne (le champ « Assigné à » reste vide) et les rappels avant échéance.

Violations de données

Une violation se qualifie par sa nature (confidentialité, intégrité, disponibilité) et son niveau de risque (Faible, Modéré, Élevé, Très élevé) :

• à partir de Modéré, la notification à la CNIL est requise, dans les 72 heures suivant la détection ; au-delà, une justification du retard est obligatoire ;
• à partir d’Élevé, l’information des personnes concernées est requise.

Si la notification à la CNIL est requise et pas encore enregistrée, une alerte est adressée, une seule fois, aux RSSI de l’entité et au DPO (s’il a un compte) entre la 68e et la 72e heure après la détection. Les statuts suivent les étapes : Détectée, CNIL notifiée, Personnes notifiées, Clôturée.

Comme pour les incidents, Conformitly enregistre la notification (date de saisie, référence CNIL) mais n’envoie rien à la CNIL ni aux personnes concernées. Le délai de 72 heures se juge sur la date de saisie : enregistrez la notification dès qu’elle est faite.

Une violation peut être liée à un incident dès sa création, y compris depuis l’incident avec « Créer une violation RGPD » ; le lien apparaît alors des deux côtés. Un lien ajouté plus tard depuis la fiche de l’incident n’apparaît que sur l’incident.