On peut être parfaitement en règle sur le papier et tomber au premier courriel bien tourné. La conformité produit des documents ; la protection réelle dépend de ce que les équipes comprennent et appliquent. Nous traitons les deux, et nous mesurons le second.
Concrètement : votre registre RGPD et vos sous-traitants, un délégué à la protection des données externe et indépendant, la sensibilisation de vos équipes et sa mesure par des campagnes réelles.
La plupart des démarches RGPD s'arrêtent au registre : il existe, il est rangé, l'obligation est remplie. Un an plus tard, trois nouveaux outils sont entrés dans l'entreprise sans y figurer, deux prestataires ont changé, et personne ne sait plus qui est responsable de quoi.
Le même écart existe côté humain. Une sensibilisation annuelle en salle laisse une trace dans le registre de formation, pas dans les réflexes. Sans mesure, vous ne savez pas si vos équipes cliqueraient — vous l'espérez.
Nécessaire, opposable, et parfaitement insuffisant seul.
Savoir où la vigilance faiblit, chiffres en main.
Corriger là où le chiffre a montré la faille, pas au hasard.
Voici le genre de courriel que reçoivent vos équipes. Il est plutôt bien fait. Cliquez sur tout ce qui vous paraît louche — chaque trouvaille s'explique à droite.
,
Nous avons détecté une activité inhabituelle sur votre compte. Par mesure de précaution, votre accès à la messagerie et aux documents partagés sera désactivé si aucune vérification n'est effectuée.
Merci de confirmer votre identité en vous connectant au portail sécurisé :
Lien affiché : → destination réelle : ms365-verif.co/lg?id=8842
Vous trouverez également le détail de l'incident en pièce jointe.
Cordialement,
Le service de sécurité
Exercice illustratif, sans lien actif ni collecte.
Tout se joue dans votre navigateur.
Le registre des traitements est l'obligation la plus visible et la plus vite périmée. Le nôtre vit dans votre système d'information, rattaché à vos vrais fournisseurs et à vos vraies applications — pas dans un tableur oublié sur un partage réseau.
| Traitement | Finalité | Base légale | Conservation | Revue |
|---|---|---|---|---|
| Gestion de la paie | Établissement des bulletins et déclarations sociales | Obligation légale | 5 ans | À jour |
| Recrutement | Suivi des candidatures et entretiens | Intérêt légitime | 2 ans après contact | À jour |
| Vidéoprotection | Sécurité des locaux et des personnes | Intérêt légitime | 30 jours | À revoir |
| Prospection commerciale | Envoi d'informations aux contacts professionnels | Consentement | 3 ans sans interaction | À revoir |
| Assistant IA interne | Aide à la rédaction et à la recherche documentaire | Intérêt légitime | Non conservé | Manquant |
La dernière ligne est celle que nous ajoutons le plus souvent en ce moment : un outil d'IA déployé par les équipes, utile, et absent de tout registre.
Chaque traitement pointe vers les fournisseurs et applications effectivement inventoriés, donc un changement d'outil se voit.
Un responsable par traitement, avec vision restreinte à son périmètre. La conformité cesse d'être l'affaire d'une seule personne.
Chaque filiale tient son registre, avec une consolidation au niveau du groupe pour les traitements communs.
La plupart des registres listent des traitements internes et s'arrêtent là. Or vos données personnelles vivent chez votre éditeur de paie, votre hébergeur, votre plateforme d'emailing, votre cabinet comptable. En cas de contrôle comme en cas d'incident, la première question porte sur eux : qui sont-ils, à quel titre détiennent-ils ces données, et qu'avez-vous signé avec chacun ?
Éditeur, constructeur, fournisseur, sous-traitant — et souvent plusieurs à la fois. Un même acteur ne joue pas le même rôle partout.
Hébergeur, éditeur de paie, plateforme d'emailing… Ce type commande les traitements attendus, sans les réinventer client par client.
La même société peut être votre sous-traitant au sens de l'article 28 et, sur un autre service, un responsable de traitement autonome. C'est cette qualification qui décide du contrat à signer.
Un traitement porté par la maison mère concerne parfois trois filiales sur cinq, et une agence sur deux. Le registre le dit : portée par entité, exclusions explicites, accord de sous-traitance hérité du groupe et modifiable localement quand la filiale a signé son propre avenant. Chaque entité lit ce qui la concerne, sans voir le reste.
Le registre s'exporte en PDF sur le périmètre d'entités que vous choisissez, et le rapport annuel d'activité du délégué se construit sur la même collecte. Vous n'avez pas un outil d'un côté et un document de l'autre : le document est produit par l'outil, daté, et opposable tel quel.
Le RGPD exige que le délégué à la protection des données soit exempt de conflit d'intérêts. Difficile à tenir quand la même équipe administre l'infrastructure et contrôle sa conformité.
Notre organisation répond structurellement à cette exigence : la fonction de DPO est portée par SF Soli, entité juridiquement distincte de SPHERIS qui exploite les systèmes. L'indépendance n'est pas une déclaration d'intention, elle est inscrite au registre du commerce.
Chez nous, le DPO n'est pas une option.
La désignation n'est légalement obligatoire que dans certains cas. Nous n'en faisons pas un supplément à cocher : tous nos accompagnements conformité incluent la fonction de délégué, que la loi l'exige ou non. Parce qu'un registre sans responsable redevient un tableur mort en douze mois, et parce qu'un délai de notification de soixante-douze heures ne se découvre pas le jour de l'incident.
Une charte signée ne prouve pas qu'elle a été lue. Nous transformons vos règles internes en parcours suivis et mesurés, avec une trace opposable de qui a compris quoi, et quand. C'est là que la sensibilisation devient de l'acculturation : non plus une séance que l'on subit une fois l'an, mais des réflexes partagés qui finissent par appartenir à la maison.
Une plateforme de formation que nous avons conçue et que nous administrons : modules par thème, questionnaires de validation, sessions planifiées, certifications nominatives et datées. Quatre niveaux de droits pour que chaque manager suive son périmètre sans voir le reste.
Une charte informatique de quarante pages ne sera pas lue. MaBoussole la transforme en parcours visuel interactif, avec suivi de progression par collaborateur. Vous voyez qui a réellement parcouru quoi — pas seulement qui a cliqué sur « j'accepte ».
Une simulation d'hameçonnage établit le point de départ, sans prévenir et sans juger.
Les modules sont attribués en fonction de ce que la campagne a révélé, service par service.
On rejoue une campagne quelques mois plus tard. L'écart entre les deux est le seul indicateur qui compte.
Une session de sensibilisation produit un effet réel — pendant environ six semaines. Puis les équipes bougent, de nouveaux arrivent, les bons réflexes s'émoussent et la prochaine campagne d'hameçonnage retrouve son taux de clic. Nous avons donc arrêté de vendre des sessions, et nous proposons l'entretien : un abonnement mensuel par utilisateur.
Parcours en ligne certifiant, suivi nominativement. Chaque nouvel arrivant démarre le sien le jour de son arrivée, sans que personne ait à y penser.
Campagnes d'hameçonnage réalistes sur vos propres usages, et un score par service qui se compare dans le temps plutôt qu'à une moyenne du marché.
Un gestionnaire de mots de passe fourni et administré. Demander des mots de passe différents partout sans donner l'outil pour les tenir, c'est demander un post-it.
Un registre qui dort dans un classeur protège exactement autant qu’un extincteur que personne n’a jamais décroché.
EGOUn état des lieux du registre et une première campagne de mesure suffisent à établir une base de départ honnête. Le reste s'organise à partir de là.
SPHERIS