Le registre des traitements, rempli sur un vrai cas

Une entreprise de douze personnes à Alger répond à une consultation d’un groupe étranger. Tout va bien jusqu’à la ligne « fournir votre registre des activités de traitement ». Personne dans la salle ne sait ce que c’est ; le dossier part sans, et il est écarté sur une pièce manquante plutôt que sur son prix.

Le registre est devenu la pièce d’entrée de la conformité algérienne, et c’est aussi le document qui rend un projet d’intelligence artificielle descriptible : tant qu’une entreprise ne peut pas dire où sont ses données, elle ne peut pas décider ce qu’elle a le droit d’en faire.

Cet article donne les six colonnes et les remplit d’un bout à l’autre sur le même cas — un assistant de support branché sur la messagerie d’un commerce. Il ne traite pas de la décision d’envoyer ou non ces données à l’étranger : ce qui a le droit de sortir de vos serveurs est une autre question, et elle se pose après celle-ci.

Prenons le cas et gardons-le jusqu’au bout : un assistant branché sur la messagerie d’un commerce, qui répond aux questions de livraison et transmet le reste à une personne. La finalité s’écrit ainsi : « répondre aux questions des clients sur l’état et le délai de leur commande, et transmettre à un vendeur ce qui n’est pas une question de livraison ».

Ce qu’il faut éviter est la formulation d’intention. « Améliorer l’expérience client » n’est pas une finalité : c’est un objectif commercial, et il ne permet à personne de décider si une donnée précise a sa place dans le traitement. Le test est simple — la finalité doit permettre de répondre par oui ou par non à la question « avons-nous besoin de ce champ ».

Une finalité par traitement, et un traitement par finalité. Si la même base sert aussi à envoyer des promotions, ce sont deux traitements et deux lignes, même si c’est un seul outil. C’est le point où un registre se met à décrire l’entreprise plutôt que son informatique.

La colonne se remplit en interrogeant la personne qui utilise l’outil tous les jours et pas celle qui l’a acheté. Les deux réponses diffèrent régulièrement, et c’est la première des deux qui est vraie.

Une durée est un nombre et un point de départ. « Trois ans après la dernière commande » est une durée ; « le temps nécessaire » n’en est pas une, et « indéfiniment » est la réponse qui signale qu’aucune décision n’a été prise.

Pour l’assistant, les durées sont plurielles et c’est normal : le contenu des conversations n’a pas besoin d’être gardé aussi longtemps que l’historique de commande auquel il se rapporte. Écrire deux durées différentes sur deux lignes est plus juste, et plus facile à appliquer, qu’une durée unique choisie pour couvrir les deux.

La partie qui coûte n’est pas d’écrire la durée, c’est de la faire appliquer. Une durée écrite et jamais exécutée est pire qu’une absence de durée, parce qu’elle décrit une entreprise qui supprime alors que rien n’est supprimé. Prévoir qui exécute la suppression, à quelle fréquence, fait partie de la ligne.

C’est aussi la colonne qui fait le plus de bien. La plupart des corrections utiles en conformité commencent par une suppression, et la durée est ce qui la déclenche sans qu’une réunion soit nécessaire.

Sur tous les registres que nous voyons, une ligne manque plus souvent que les autres : le traitement effectué par le fournisseur du modèle lui-même. L’entreprise écrit le traitement « répondre aux clients » et s’arrête là, comme si l’outil était un logiciel installé sur un poste.

Ce qui rend la ligne nécessaire est simple : le fournisseur conserve les échanges pendant un certain temps, souvent pour surveiller les usages abusifs, et cette copie est accessible chez lui. Le fait qu’il affirme ne pas entraîner ses modèles sur vos données ne supprime pas cette conservation, qui est une chose distincte.

Ce qu’il faut relever avant de signer tient en trois éléments et se trouve dans la documentation du fournisseur : la durée de conservation par défaut, l’existence d’un réglage pour la réduire, et le nom exact de ce réglage. Le troisième manque le plus souvent, parce que la fonction existe et se trouve trois écrans plus loin.

La même ligne vaut pour ce que les employés utilisent sans projet. Ce qui sort de l’entreprise par une fenêtre de navigateur est un traitement, il n’a ni contrat ni destinataire écrit, et il appartient au registre autant que l’assistant officiel.

Nous menons l’inventaire avec vos équipes et nous écrivons les premières lignes devant elles, dans votre vocabulaire de travail. Le fichier reste chez vous, dans un format que n’importe quel prestataire ou juriste peut reprendre — y compris un concurrent à nous — et nous montrons comment ajouter une ligne, parce que la prochaine sera écrite sans nous.

Nous ne tenons pas votre registre à votre place. Un registre tenu par un prestataire est un registre que personne dans l’entreprise ne relit, et il cesse d’être vrai au premier changement d’outil sans que quiconque s’en aperçoive. C’est une limite de méthode, pas une limite de moyens : nous saurions le faire, et cela vous laisserait avec un document exact et inutilisable.

Nous ne délivrons aucune attestation de conformité. Cela n’existe pas et personne ne peut vous en fournir une ; ce que nous pouvons dire est que le registre existe, qu’il décrit vos traitements réels, et que vos équipes savent le mettre à jour.

Et nous ne sommes pas votre délégué à la protection des données. Le rôle demande une indépendance vis-à-vis de celui qui a construit le système, et nous sommes celui-là. Nous formons la personne que vous désignez ; nous ne prenons pas sa place, et un prestataire qui accepte les deux rôles vous vend le second en annulant le premier.