Cartographier les données et leurs responsabilités

Votre checklist d’action

1. 01

   Décrire les finalités

   Pour chaque usage, documentez l’objectif, les personnes concernées et les données nécessaires. Repérez les collectes sans finalité claire et les copies inutiles. Commencez par une opération concrète, par exemple répondre à une demande de contact. Identifiez ce qui est indispensable à cette réponse et ce qui relève d’un autre usage. Évitez qu’un même intitulé général masque plusieurs finalités et circuits de données.

2. 02

   Tracer les flux

   Dessinez les transferts entre applications, prestataires et pays. Incluez sauvegardes, exports manuels, journaux et outils d’IA utilisés par les équipes. Suivez un exemple de bout en bout avec les responsables des outils. Incluez les pièces jointes, tableurs locaux et intégrations automatisées. Distinguez le lieu d’hébergement, le lieu d’accès et les entités contractuelles ; ce sont des informations différentes.

3. 03

   Nommer les responsables

   Clarifiez qui décide des usages, qui opère les systèmes et qui valide les demandes. Reliez contrats et responsabilités aux traitements observés. Attribuez à chaque changement une personne qui décide et une personne qui vérifie sa réalisation. Un contrat décrit un cadre ; le contrôle doit aussi examiner les accès effectivement ouverts et les sous-traitants réellement utilisés.

4. 04

   Définir les durées et les accès

   Fixez des durées documentées et vérifiez leur application. Limitez les accès par fonction et testez la suppression sur un exemple incluant les copies et les exceptions justifiées. Une règle de conservation ne se résume pas à une valeur dans une politique. Testez un dossier arrivé à échéance, relevez les copies encore présentes et documentez les exceptions. Les mécanismes de sauvegarde demandent une procédure adaptée et vérifiable.

5. 05

   Examiner les risques

   Évaluez les conséquences d’une divulgation, d’une altération ou d’une indisponibilité. Faites examiner les exigences d’analyse d’impact et les transferts internationaux par les responsables compétents. Décrivez les personnes affectées, le contexte d’usage et les conséquences possibles avant de classer un risque. Faites valider les points juridiques par les interlocuteurs compétents. Conservez le raisonnement qui justifie l’action retenue et ses limites.

6. 06

   Maintenir les preuves

   Conservez les validations, les changements et les tests. Vérifiez les demandes d’accès, les incidents et les changements de fournisseur à intervalles définis. Révisez la carte lors d’un nouvel outil, d’un export supplémentaire ou d’un usage IA. Conservez une trace de la demande, de l’autorisation et du test après changement. Un registre utile reflète le fonctionnement réel plutôt qu’un état théorique initial.

   Exemple pédagogique : une équipe conserve des demandes clients dans un outil SaaS et dans des exports de travail. Pour tester sa règle de conservation, suivez un dossier représentatif jusqu’aux copies, journaux et sauvegardes concernés. Distinguez suppression immédiate, expiration différée et conservation justifiée. Consignez les exceptions et les accès restants plutôt que de déclarer une suppression totale sur la seule disparition du dossier à l’écran.