On peut être parfaitement en règle sur le papier et tomber au premier courriel bien tourné. La conformité produit des documents ; la protection réelle dépend de ce que les équipes comprennent et appliquent. Nous traitons les deux, et nous mesurons le second.
La plupart des démarches RGPD s'arrêtent au registre : il existe, il est rangé, l'obligation est remplie. Un an plus tard, trois nouveaux outils sont entrés dans l'entreprise sans y figurer, deux prestataires ont changé, et personne ne sait plus qui est responsable de quoi.
Le même écart existe côté humain. Une sensibilisation annuelle en salle laisse une trace dans le registre de formation, pas dans les réflexes. Sans mesure, vous ne savez pas si vos équipes cliqueraient — vous l'espérez.
Nécessaire, opposable, et parfaitement insuffisant seul.
Savoir où la vigilance faiblit, chiffres en main.
Corriger là où le chiffre a montré la faille, pas au hasard.
Voici le genre de courriel que reçoivent vos équipes. Il est plutôt bien fait. Cliquez sur tout ce qui vous paraît louche — chaque trouvaille s'explique à droite.
,
Nous avons détecté une activité inhabituelle sur votre compte. Par mesure de précaution, votre accès à la messagerie et aux documents partagés sera désactivé si aucune vérification n'est effectuée.
Merci de confirmer votre identité en vous connectant au portail sécurisé :
Lien affiché : → destination réelle : ms365-verif.co/lg?id=8842
Vous trouverez également le détail de l'incident en pièce jointe.
Cordialement,
Le service de sécurité
Exercice illustratif, sans lien actif ni collecte.
Tout se joue dans votre navigateur.
Le registre des traitements est l'obligation la plus visible et la plus vite périmée. Le nôtre vit dans votre système d'information, rattaché à vos vrais fournisseurs et à vos vraies applications — pas dans un tableur oublié sur un partage réseau.
| Traitement | Finalité | Base légale | Conservation | Revue |
|---|---|---|---|---|
| Gestion de la paie | Établissement des bulletins et déclarations sociales | Obligation légale | 5 ans | À jour |
| Recrutement | Suivi des candidatures et entretiens | Intérêt légitime | 2 ans après contact | À jour |
| Vidéoprotection | Sécurité des locaux et des personnes | Intérêt légitime | 30 jours | À revoir |
| Prospection commerciale | Envoi d'informations aux contacts professionnels | Consentement | 3 ans sans interaction | À revoir |
| Assistant IA interne | Aide à la rédaction et à la recherche documentaire | Intérêt légitime | Non conservé | Manquant |
La dernière ligne est celle que nous ajoutons le plus souvent en ce moment : un outil d'IA déployé par les équipes, utile, et absent de tout registre.
Chaque traitement pointe vers les fournisseurs et applications effectivement inventoriés, donc un changement d'outil se voit.
Un responsable par traitement, avec vision restreinte à son périmètre. La conformité cesse d'être l'affaire d'une seule personne.
Chaque filiale tient son registre, avec une consolidation au niveau du groupe pour les traitements communs.
Le RGPD exige que le délégué à la protection des données soit exempt de conflit d'intérêts. Difficile à tenir quand la même équipe administre l'infrastructure et contrôle sa conformité.
Notre organisation répond structurellement à cette exigence : la fonction de DPO est portée par SF Soli, entité juridiquement distincte de SPHERIS qui exploite les systèmes. L'indépendance n'est pas une déclaration d'intention, elle est inscrite au registre du commerce.
Chez nous, le DPO n'est pas une option.
La désignation n'est légalement obligatoire que dans certains cas. Nous n'en faisons pas un supplément à cocher : tous nos accompagnements conformité incluent la fonction de délégué, que la loi l'exige ou non. Parce qu'un registre sans responsable redevient un tableur mort en douze mois, et parce qu'un délai de notification de soixante-douze heures ne se découvre pas le jour de l'incident.
Une charte signée ne prouve pas qu'elle a été lue. Nous transformons vos règles internes en parcours suivis et mesurés, avec une trace opposable de qui a compris quoi, et quand.
Une plateforme de formation que nous avons conçue et que nous administrons : modules par thème, questionnaires de validation, sessions planifiées, certifications nominatives et datées. Quatre niveaux de droits pour que chaque manager suive son périmètre sans voir le reste.
Une charte informatique de quarante pages ne sera pas lue. MaBoussole la transforme en parcours visuel interactif, avec suivi de progression par collaborateur. Vous voyez qui a réellement parcouru quoi — pas seulement qui a cliqué sur « j'accepte ».
Une simulation d'hameçonnage établit le point de départ, sans prévenir et sans juger.
Les modules sont attribués en fonction de ce que la campagne a révélé, service par service.
On rejoue une campagne quelques mois plus tard. L'écart entre les deux est le seul indicateur qui compte.
Un état des lieux du registre et une première campagne de mesure suffisent à établir une base de départ honnête. Le reste s'organise à partir de là.
SPHERIS