L'outil RGPD qui repère vos obligations dès la pré-analyse

Non. Le RGPD est un règlement d'application directe : on s'y conforme, on ne se fait pas certifier RGPD. Son article 42 prévoit bien des mécanismes de certification, des labels et des marques, délivrés sur la base de critères approuvés par une autorité de contrôle ou par le Comité européen de la protection des données, mais ils portent sur des opérations de traitement déterminées, jamais sur l'organisation entière. Pour un certificat au niveau de l'organisme, la voie reconnue est l'ISO/IEC 27701, la norme de management de la protection de la vie privée qui s'articule avec l'ISO/IEC 27001 : une preuve de maturité utile, qui ne vaut pas conformité au RGPD.

L'article 37 du RGPD rend le DPO obligatoire dans trois cas : les autorités et organismes publics, les organisations dont l'activité de base implique un suivi régulier et systématique des personnes à grande échelle, et celles dont l'activité de base porte à grande échelle sur des données sensibles ou relatives à des condamnations pénales. Le seuil de 250 salariés souvent évoqué ne concerne pas le DPO : il encadre une dispense partielle de registre, qui tombe dès que le traitement n'est pas occasionnel, ce qui est le cas de la paie ou de la gestion RH.

Dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Le RGPD cite trois situations qui la rendent systématiquement requise : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, servant de base à des décisions produisant des effets juridiques, le traitement à grande échelle de données sensibles ou pénales, et la surveillance systématique à grande échelle d'une zone accessible au public. La CNIL publie en complément une liste de traitements soumis à AIPD et une liste de traitements qui en sont dispensés.

Ce sont deux régimes distincts. Le RGPD protège les données personnelles et ouvre des droits aux personnes concernées ; le règlement européen sur l'intelligence artificielle raisonne par niveau de risque du système d'IA, y compris lorsqu'aucune donnée personnelle n'est traitée. Ils se rejoignent sur un système d'IA qui traite des données personnelles : base légale, minimisation et AIPD restent dues au titre du RGPD, tandis que l'AI Act ajoute la gouvernance des données d'entraînement, la documentation technique et le contrôle humain, avec une analyse d'impact sur les droits fondamentaux pour certains déployeurs de systèmes à haut risque.

Oui, dès lors que le traitement vise des personnes situées dans l'Union. L'article 3 retient deux critères alternatifs : offrir des biens ou des services à ces personnes, y compris à titre gratuit, ou suivre leur comportement au sein de l'Union. Le responsable de traitement non établi dans l'UE doit alors désigner par écrit un représentant dans l'Union, sauf exceptions limitées. Le lieu d'hébergement des serveurs ne change rien à cette applicabilité : il pèse en revanche sur l'encadrement des transferts hors UE.

L'article 30 fixe le contenu minimal du registre du responsable de traitement : identité et coordonnées du responsable et, le cas échéant, du délégué à la protection des données, finalités poursuivies, catégories de personnes concernées et de données, catégories de destinataires, transferts vers des pays tiers et garanties associées, puis, dans la mesure du possible, les délais d'effacement prévus et une description générale des mesures de sécurité techniques et organisationnelles. Le registre se tient par traitement et non par application, et se communique à l'autorité de contrôle sur demande.

Un tableur photographie une situation, il ne la suit pas. Chaque traitement ajouté, chaque changement de sous-traitant, chaque durée de conservation révisée crée une version parallèle, et le rattachement entre un traitement, son AIPD, ses risques et ses mesures finit par se perdre. Un outil dédié maintient ce rattachement, garde trace des arbitrages et signale ce qui doit être réexaminé. Dans Vailor, les obligations RGPD d'un projet sont signalées dès la pré-analyse, et la piste d'audit reste consultable par le DPO comme par l'autorité de contrôle.