Comment établir un inventaire des données ? Guide pratique pour la conformité au KVKK

L’inventaire des données est une cartographie qui permet de visualiser où, dans quels processus, à quelles fins et avec quelles parties une organisation traite les données à caractère personnel. Dans le cadre de la conformité au KVKK, il ne suffit pas de créer un simple tableau : il faut comprendre les flux de données entre les processus métier et les systèmes utilisés.

Un inventaire bien établi contribue à faire correspondre les textes d’information et les procédures internes aux pratiques réelles. Il permet également d’identifier les activités à examiner en priorité, car l’organisation commence à visualiser concrètement les données qu’elle détient et les points par lesquels elles circulent.

À quelles questions l’inventaire des données répond-il ?

L’objectif principal de l’inventaire est de décrire les activités de traitement des données à caractère personnel, processus par processus. Pour chaque enregistrement, il convient au minimum de répondre aux questions suivantes : quelles données à caractère personnel sont traitées, qui est la personne concernée, quelle est la finalité du traitement, de quelle source proviennent les données, où sont-elles conservées, qui y a accès et avec quels tiers sont-elles partagées ?

Il ne faut pas confondre la catégorie de données et la finalité du traitement. Par exemple, dans un processus de vente, le nom, les coordonnées et les informations de facturation peuvent être traités ; toutefois, ces données peuvent répondre à des finalités différentes, comme la préparation d’une offre, la conclusion d’un contrat et les opérations comptables.

Prenons un exemple du quotidien : un client remplit un formulaire, ses informations apparaissent sur l’écran de l’équipe commerciale, une offre est préparée, puis les données sont transférées au système comptable pour établir la facture. L’inventaire ne considère pas ce processus comme un simple enregistrement de données client, mais comme une activité de traitement dont la source, la finalité, les systèmes et les transferts sont visibles.

Commencez par les processus, et non par les services

Lors de l’établissement d’un inventaire des données, se limiter à répertorier les services des ressources humaines, du marketing ou de l’informatique peut conduire à un résultat incomplet. Les mêmes données à caractère personnel peuvent être traitées à des fins différentes dans le cadre d’un même processus impliquant plusieurs services. Le point de départ doit donc être les activités de l’organisation, et non le nom des services.

Dans un premier temps, il est possible de répertorier les principaux processus, tels que l’acquisition de clients, les ventes, le support, le recrutement, les achats, la gestion des visiteurs et la finance. Il convient ensuite d’identifier les formulaires, applications, boîtes e-mail, répertoires de fichiers et prestataires utilisés dans chaque processus. Les échanges avec les responsables de processus sont essentiels pour faire apparaître les pratiques qui ne figurent pas dans les documents existants.

Par exemple, si l’on considère que le processus des ressources humaines se limite à la collecte des CV, l’inventaire sera incomplet. Les notes d’entretien, les prises de références, les documents d’embauche et la création des cartes d’accès peuvent également constituer différents points de traitement des données au sein du même processus.

Documentez chaque activité de traitement avec la même structure d’enregistrement

Pour que l’inventaire soit exploitable, une structure d’enregistrement similaire doit être utilisée pour tous les processus. Un modèle pratique peut comprendre les champs suivants :

• Nom de l’activité de traitement et du processus auquel elle est rattachée
• Groupe de personnes concernées
• Catégories de données à caractère personnel et, le cas échéant, de données à caractère personnel sensibles
• Finalité du traitement
• Évaluation de l’organisation concernant la base juridique du traitement
• Source d’obtention des données
• Application, appareil ou support physique utilisé
• Services internes et prestataires ayant accès aux données
• Destinataires des transferts et finalité de ces transferts
• Règle de l’organisation concernant la conservation et la destruction des données
• Responsable du processus et date de mise à jour

Ces champs ne doivent pas nécessairement être appliqués avec le même niveau de détail dans toutes les organisations. L’essentiel est que toute personne lisant un enregistrement puisse comprendre le cycle de vie des données. Si la finalité du traitement est floue ou si seul un service est indiqué sans préciser le nom du système, l’enregistrement risque de devenir une simple note difficile à contrôler par la suite.

Par exemple, les demandes d’assistance peuvent contenir le nom du client, ses coordonnées, des informations sur son appareil et le contenu des échanges. Il convient d’indiquer clairement que ces données sont utilisées pour résoudre la demande d’assistance, conservées sur la plateforme de support et, si nécessaire, partagées avec un prestataire de services techniques.

Vérifiez les flux de données avec les systèmes et les prestataires

Les entretiens portant sur les processus peuvent ne pas suffire à eux seuls, car les collaborateurs ne savent pas toujours avec le même niveau de détail par quels systèmes les données transitent ni quels services interviennent en arrière-plan. Il convient donc également d’examiner l’inventaire des applications, les habilitations des utilisateurs, les contrats, les formulaires, les groupes d’e-mails et les espaces de stockage de fichiers.

La liste des systèmes fournie par l’équipe technique peut être comparée aux informations sur les processus recueillies auprès des équipes métier. Si l’on constate que des données client sont conservées dans un système qui ne figure pas dans l’inventaire du service concerné, il existe une lacune entre les deux enregistrements, qui doit être expliquée. De même, si des données sont transférées à un prestataire alors que ce transfert n’apparaît ni dans le contrat ni dans la documentation du processus, la situation doit faire l’objet d’une évaluation distincte.

Par exemple, lorsqu’elle utilise un formulaire de campagne, l’équipe marketing peut penser que les données sont envoyées uniquement à une liste d’e-mails. Une analyse technique peut révéler que les données du formulaire sont d’abord transférées vers un système de gestion de la relation client, puis vers un autre outil de communication. Si la cartographie ne montre pas cette chaîne, les textes préparés et les contrôles d’accès ne reflètent pas les flux réels.

Maintenez l’inventaire à jour et assurez sa cohérence avec VERBİS

L’inventaire des données ne doit pas être considéré comme un projet ponctuel. L’utilisation d’un nouveau logiciel, la modification d’un formulaire, le recours à un prestataire externe ou le lancement d’un nouveau processus métier nécessitent de réexaminer l’inventaire. Si la responsabilité de sa mise à jour n’est pas définie, le fichier deviendra rapidement une archive qui ne reflète plus la situation actuelle.

Le travail d’inventaire peut également servir de base, lorsque cela est nécessaire, à la préparation du Veri Sorumluları Sicil Bilgi Sistemi (VERBİS). Toutefois, l’obligation de s’inscrire à VERBİS et les éventuelles exceptions doivent être évaluées séparément au regard des critères en vigueur ; les enregistrements ou déclarations réalisés à partir de l’inventaire doivent rester cohérents avec les informations qu’il contient.

Une erreur fréquente consiste à examiner uniquement les formulaires du site internet et à exclure les documents papier, les échanges téléphoniques et les flux liés aux fournisseurs. Une autre consiste à regrouper toutes les activités sous une seule finalité générale. Une approche plus fiable consiste à mettre en place un dispositif validé par les responsables de processus, comparé aux enregistrements techniques et mis à jour en cas de changement.

Pour commencer par une étape simple et peu risquée, choisissez un seul processus et documentez ensemble son flux, depuis la source des données jusqu’au point de suppression ou d’archivage.

Questions fréquentes

L’inventaire des données est-il préparé uniquement par l’équipe informatique ?

Non. L’équipe informatique vérifie les systèmes et les accès, tandis que les équipes métier expliquent dans quels processus et à quelles fins les données sont utilisées. L’inventaire devient fiable grâce à l’évaluation conjointe de ces informations.

Chaque donnée à caractère personnel doit-elle être présentée sur une ligne distincte dans l’inventaire ?

Il n’est pas toujours nécessaire d’utiliser une ligne distincte pour chaque donnée. Les catégories de données traitées dans le même processus, pour la même finalité et selon un flux similaire peuvent être regroupées. En revanche, il est préférable de les séparer lorsque la finalité, le système ou le destinataire du transfert diffère.

L’inventaire des données et l’enregistrement dans VERBİS sont-ils la même chose ?

Non. L’inventaire des données est une cartographie interne détaillée des activités de traitement de l’organisation. VERBİS est une inscription au registre effectuée selon les modalités prévues lorsqu’une obligation applicable existe ; l’inventaire constitue l’une des principales sources utilisées pour sa préparation.