Ne pas réduire la conformité à un document
Un registre aide à connaître les traitements, mais sa présence ne prouve pas que les accès sont maîtrisés, que les durées sont appliquées ou que les demandes des personnes sont correctement traitées. Les règles doivent se traduire dans les pratiques et les systèmes.
La sécurité ne couvre pas non plus l'ensemble du sujet : une information bien protégée peut avoir été collectée sans justification suffisante ou conservée au-delà du besoin. Les finalités, les bases juridiques, l'information des personnes et les responsabilités doivent être examinées selon le contexte.
Préparer la réaction
Prévoyez comment identifier les données touchées, évaluer les conséquences et mobiliser les personnes compétentes. La qualification d'une violation et les obligations qui peuvent en découler demandent une analyse spécifique. Cette fiche ne remplace pas les textes applicables ni l'accompagnement d'un professionnel habilité.
Conserver une démarche vivante
Réexaminez les mesures lors d'un nouveau traitement, d'un changement de fournisseur ou d'une évolution du risque. Vérifiez les sous-traitants et les actions correctives. Une approche utile relie les engagements aux preuves de fonctionnement, tout en reconnaissant qu'un risque résiduel doit continuer à être surveillé.