Comment relier les preuves RGPD à une question d’appel d’offres ?

Point de départ

Ne répondez pas avec la politique générale du fournisseur

Conservez la question avec sa source: pièce, version, paragraphe, définition, additif, lot, format de réponse, document attendu et moment où l’affirmation doit être vraie. Une obligation d’effacement peut être vérifiée dans le produit offert, prendre effet lors du paramétrage ou ne s’appliquer qu’à la fin du contrat. Le verbe et la preuve doivent correspondre à ce moment.

Figez aussi la variante commerciale et technique. Identifiez la société candidate, le service, l’édition, les modules, le modèle de tenant, les interfaces, les régions, les modes d’assistance, la reprise et les fournisseurs activés. Une notice générale peut présenter plusieurs choix incompatibles. Elle ne démontre pas que le paramétrage vendu au bailleur applique chacun d’eux.

Utilisez la politique, le registre, les contrats et les fiches produit comme des sources à confronter. La CNIL rappelle que le registre doit refléter la réalité et préciser finalités, catégories de personnes et de données, destinataires, conservation et sécurité. Une divergence avec le service proposé devient un point de résolution. Copier la fiche la plus rassurante ne résout rien.

Cycle des données

Reconstituez les activités et toutes les copies pertinentes

Un portail ne correspond pas à une seule finalité. La réception d’une demande, son affectation à un technicien, la notification du locataire, l’assistance, la prévention des abus, la facturation et l’analyse d’usage peuvent produire des activités distinctes. Ouvrez une fiche lorsque la finalité, la personne concernée, le destinataire, la durée, l’instruction ou le décideur change.

Suivez le contenu dans ses formes réelles. Une photographie peut rester dans le dossier, une miniature, une notification, un téléchargement du technicien, un ticket d’assistance et une sauvegarde. Un commentaire libre peut contenir des informations absentes du modèle de données. Les identifiants techniques et horaires peuvent eux-mêmes permettre un rapprochement. Chaque copie en périmètre reçoit une règle et un propriétaire.

Enregistrez les absences vérifiées. Si l’application retire les coordonnées de géolocalisation du fichier avant dépôt, notez la méthode, la version et le test. Si elle ne crée aucun profil du locataire, définissez les événements et dérivations examinés. Une négation utile repose sur une observation délimitée, pas sur le silence d’une brochure.

Qualification

Présentez une qualification argumentée, jamais une étiquette automatique

La qualification ne se déduit pas seulement du contrat-type. Les lignes directrices 07/2020 du Comité européen de la protection des données examinent la détermination des finalités et des moyens essentiels. Le même candidat peut agir pour le compte de l’acheteur sur une activité et devoir être analysé autrement pour une finalité distincte. La cartographie prépare le dossier factuel sans se substituer à l’avis habilité.

Pour chaque activité, précisez qui décide du résultat recherché, des catégories de personnes et de données, des destinataires essentiels, de la durée et des usages permis. Distinguez les choix d’exploitation laissés au prestataire dans le cadre des instructions. Ajoutez la source, la date, le désaccord éventuel et les conséquences sur la réponse si la qualification reste ouverte.

Appliquez la même discipline aux chaînes de sous-traitance. L’avis 22/2024 du Comité européen porte sur les obligations liées aux sous-traitants et sous-traitants ultérieurs. Le dossier doit relier chaque entité juridique à sa fonction, son activité, ses données, son contrat, son mécanisme d’autorisation et son changement prévu. Le nom commercial seul ne fournit pas cette visibilité.

Matrice de preuve

Reliez chaque proposition à une mesure qui produit le résultat

Une question globale doit devenir plusieurs contrôles. Limitation des finalités, minimisation, transparence, exactitude, durée, accès, rectification, effacement, instruction, prestataires, incident, audit et assistance à l’AIPD ne décrivent pas le même résultat. Une mesure de sécurité peut protéger une donnée tout en laissant sans réponse la nécessité de sa collecte ou la règle qui autorise son usage.

Qualifiez le lien. Étayé signifie que la mesure et sa preuve couvrent la proposition pour l’offre entière. Partiel nomme la copie, la population, l’événement ou la période manquante. Dépendant de l’acheteur signale une configuration ou instruction nécessaire. Dépendant du contrat indique une obligation encore en négociation. Revue juridique requise et non étayé empêchent une affirmation positive non autorisée.

Les référentiels structurent le travail sans rendre le verdict. Le NIST Privacy Framework 1.1 peut relier exigences, résultats et mesures entre acteurs d’un écosystème de traitement. ISO/IEC 27701:2025 porte sur un système de management des informations de vie privée. Il faut encore atteindre le mécanisme, le paramétrage et la preuve correspondant au marché.

Force des preuves

Distinguez le document de l’exécution qu’il est censé encadrer

Le registre décrit une activité et la politique fixe une règle. Le contrat organise instructions, assistance, audit et recours à des prestataires. Le paramétrage montre une propriété du service offert. Les traces d’exploitation établissent qu’une action s’est déroulée pour une population et une période. L’AIPD examine les risques et mesures d’un traitement déterminé. Conservez ces couches pour que la conclusion reste proportionnée.

Testez les parcours avec des données de démonstration maîtrisées. Une demande d’accès peut traverser vérification d’identité, recherche dans le dossier, consultation des commentaires, requête au prestataire, contrôle de l’export et transmission au bailleur. Une purge doit rapprocher population attendue, objets supprimés, exceptions, échecs et copies secondaires. Un résultat partiel demeure partiel même si le scénario principal fonctionne.

L’AIPD n’est pas un certificat du fournisseur. La CNIL la décrit comme une analyse détaillée du traitement, de sa nécessité, de sa proportionnalité, des risques et des mesures. L’autorité compétente décide si elle est requise, qui la porte et si les risques résiduels sont acceptables. La réponse peut confirmer l’assistance et les faits disponibles sans prendre cette décision à la place de l’acheteur.

Cas pratique

Cartographiez les photographies d’un portail de maintenance locative

Un bailleur social fictif achète un portail permettant aux locataires de signaler une panne et de joindre une photo. L’annexe demande que le candidat traite les images sur instruction, collecte seulement ce qui est nécessaire, permette l’accès et l’effacement, supprime les dossiers deux ans après clôture et soumette tout prestataire ultérieur à autorisation. Le service distribue certains dossiers à des entreprises de maintenance.

La cartographie distingue réception du signalement, diagnostic et affectation, accès du technicien, notifications, assistance, journalisation de sécurité et mesure agrégée du service. La photo, sa miniature, son éventuelle métadonnée, le commentaire, l’adresse, les coordonnées, le téléchargement et le ticket support sont suivis séparément. Le bailleur définit la finalité de maintenance et choisit les champs. Le candidat détermine la mise en œuvre et propose un traitement distinct pour ses statistiques agrégées.

Un essai confirme que les métadonnées de localisation sont retirées à l’envoi et que l’aperçu suit le dossier principal. L’entreprise de maintenance peut télécharger la photo pendant l’intervention; la copie sur son terminal dépend de sa procédure contractuelle et n’entre pas dans la purge de la plateforme. Le dossier principal est supprimé deux ans après clôture, mais une photo copiée dans un ticket support suit une durée différente. Le parcours d’effacement testé a trouvé les deux copies actives, pas une sauvegarde restaurée.

La réponse peut donc décrire la minimisation observée, la purge du portail et l’assistance testée. Elle doit isoler la copie du prestataire terrain, la durée du support, le cycle de sauvegarde et la qualification des statistiques. Le DPD et le juriste examinent les rôles, la base et les clauses. Une bonne purge du portail ne permet pas de déclarer que toutes les copies ont disparu.

Rédaction

Rédigez une réponse limitée aux faits et qualifications approuvés

Répondez au niveau de la proposition. Identifiez le service, l’activité, la population, la mesure, la preuve et toute intervention du client ou d’un tiers. Une affirmation comme « entièrement conforme au RGPD » ne donne à l’acheteur ni comportement vérifiable ni partage des responsabilités. Employez la qualification et les termes validés pour la juridiction et le marché concernés.

Séparez ce qui existe, ce qui est promis et ce qui relève du droit. « Le paramètre efface le dossier du portail après deux ans » décrit le produit. « Le candidat assistera le bailleur pour les demandes » dépend d’un engagement. « Le bailleur est responsable du traitement » est une qualification. Une seule phrase peut mentionner les trois, mais aucune couche ne doit servir de preuve aux deux autres.

Choisissez une forme de preuve proportionnée. Un résumé de flux, une annexe des prestataires, un extrait du registre, un résultat d’essai ou une synthèse d’AIPD peut être communiqué après validation. Les données de locataires, l’avis juridique interne, les détails de sécurité et les constats non clos restent dans le canal autorisé. La mention confidentielle ne remplace pas cette décision.

• Nommer l’activité, la version du service et la population concernée.
• Indiquer si la qualification est validée ou encore en examen.
• Décrire la mesure par son résultat observable.
• Citer une preuve de même périmètre et de date pertinente.
• Conserver les dépendances client, les tiers et les limites matérielles.
• Communiquer seulement le document approuvé pour ce destinataire.

Révision

Révisez le lien lorsque le traitement ou son autorité évolue

Fixez une date de contrôle et des déclencheurs. Additif, nouvelle instruction, version, module, finalité, champ, inférence, interface, destinataire, sous-traitant, pays, accès support, calendrier, procédure de droits, gestion d’incident, constat d’audit ou nouvelle analyse juridique peuvent modifier une ou plusieurs réponses. Rouvrez seulement les liens concernés et conservez la conclusion remplacée.

Utilisez des états descriptifs: question saisie, activité reconstituée, qualification en revue, mesure vérifiée, action acheteur attendue, clause en attente, preuve incomplète, diffusion à approuver, réponse validée et remplacée. Ils rendent l’avancement lisible sans attribuer au rédacteur une décision juridique ou une acceptation du risque.

Conservez cette cartographie dans le dossier du marché. Une consultation ultérieure peut reprendre une activité seulement après comparaison de la finalité, du service, des personnes, des données, des acteurs, des lieux, des durées, du cadre applicable et des preuves. Réutilisez les faits contrôlés et leur validation, jamais l’ancienne case cochée.