Protection des données, RGPD, archivage et outils collaboratifs souverains : audit, conseil, formation et réalisation pour le secteur public

Cadre réglementaire de la protection des données et des archives

Le RGPD, la loi Informatique et Libertés et le délégué à la protection des données

Le règlement (UE) 2016/679, dit RGPD, et la loi n° 78-17 du 6 janvier 1978 modifiée, dite loi Informatique et Libertés, encadrent le traitement des données personnelles par les collectivités et les administrations. Chaque traitement repose sur une finalité déterminée, une base légale, une durée de conservation limitée et des mesures de sécurité. Les personnes concernées disposent de droits (accès, rectification, opposition dans certains cas), que la collectivité doit pouvoir satisfaire. La Commission nationale de l'informatique et des libertés (CNIL) contrôle l'application de ces textes.

L'article 37 du RGPD impose de désigner un délégué à la protection des données (DPO) lorsque le traitement est effectué par une autorité publique ou un organisme public, hors juridictions. Un seul délégué peut être désigné pour plusieurs autorités ou organismes publics, ce qui permet la mutualisation entre une intercommunalité et ses communes membres. La désignation, le remplacement et la fin de mission se déclarent à la CNIL exclusivement par un téléservice dédié. L'organisme associe le délégué à toutes les questions de protection des données, lui donne le temps et les moyens nécessaires, ne lui adresse aucune instruction dans l'exercice de ses missions et évite tout conflit d'intérêts lorsqu'il cumule une autre fonction.

Le registre, l'analyse d'impact et la protection dès la conception

L'article 30 du RGPD prévoit un registre des activités de traitement, qui décrit pour chaque traitement ses finalités, ses catégories de données, ses destinataires, ses durées de conservation et ses mesures de sécurité. Dans une collectivité, il sert aussi de cartographie : il rend visible qui traite quoi. L'article 35 impose une analyse d'impact relative à la protection des données (AIPD) lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes ; le responsable du traitement la réalise, avec l'avis du délégué. La CNIL publie une liste des traitements pour lesquels elle est obligatoire et propose une méthode et un logiciel libre pour la conduire.

L'article 25 demande de prévoir la protection des données dès la conception d'un projet et par défaut : c'est l'esprit du « privacy by design ». Lorsqu'un prestataire traite des données pour le compte de la collectivité, l'article 28 exige un contrat qui fixe les instructions documentées, la confidentialité, la sécurité, le recours à des sous-traitants ultérieurs, la restitution ou la suppression des données et les audits.

Les violations de données personnelles

Une violation est une atteinte à la sécurité qui entraîne la destruction, la perte, l'altération ou la divulgation non autorisée de données personnelles. L'article 33 du RGPD oblige le responsable du traitement à la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque ; la CNIL précise que le délai court à partir de la certitude raisonnable qu'un incident a touché des données. Lorsque le risque est élevé, l'article 34 prévoit en outre une information des personnes concernées. Toute violation, notifiée ou non, est consignée dans un registre interne. Le sous-traitant alerte le responsable du traitement dans les meilleurs délais, et la notification se fait par un téléservice sécurisé.

Les archives publiques et le contrôle de l'État

Le code du patrimoine définit les archives comme l'ensemble des documents produits ou reçus par tout service ou organisme public ou privé dans l'exercice de son activité (article L. 211-1). Les collectivités territoriales sont propriétaires de leurs archives et en assurent elles-mêmes la conservation et la mise en valeur (article L. 212-6) ; cette conservation est une dépense obligatoire (article L. 2321-2 du code général des collectivités territoriales). Selon le centre de gestion du Calvados, les communes peuvent ou doivent, selon leur taille, déposer leurs archives de plus de cinquante ans aux archives départementales sans en perdre la propriété. Toute élimination est interdite sans le visa de l'autorité chargée du contrôle scientifique et technique de l'État.

Le maire ou le président de l'intercommunalité est responsable de la conservation ; au changement d'exécutif, un procès-verbal de récolement dresse l'inventaire des archives confiées. Au niveau national, le Service interministériel des Archives de France (SIAF), au sein du ministère de la Culture, anime la politique des archives, la plateforme FranceArchives et le programme Vitam, qui met à disposition des collectivités une solution logicielle d'archivage numérique.

Rôles, normes et outils

Le délégué et la certification facultative

Aucune formation n'est obligatoire pour exercer la fonction de délégué à la protection des données. La certification des compétences est facultative et ouverte aux personnes ; la CNIL ne la délivre pas, elle agrée des organismes certificateurs. Elle liste à ce jour cinq organismes : PECB Group Inc., Lexing Technologies, AFNOR (Association française de normalisation) Certification, Apave Certification et Bureau Veritas Certification France. Notre formation prépare à la fonction ; elle ne conduit pas à la certification, et nous ne nous substituons pas aux organismes agréés.

L'archiviste, la gestion documentaire et les normes

L'archiviste conduit la chaîne qui va de la production du document à sa conservation définitive ou à son élimination, en lien avec le délégué, qui veille aux durées de conservation des données personnelles. Les normes ISO (International Organization for Standardization, Organisation internationale de normalisation) 15489 (bonnes pratiques du records management) et ISO 30301 (système de management des documents d'activité) donnent des cadres de travail. L'ISO 15489 n'est pas certifiable ; l'ISO 30301 peut l'être par un organisme accrédité par le Cofrac, indépendant de nous : Optédif prépare et réalise des audits à blanc, sans délivrer la certification.

Outils documentaires et collaboratifs

Les thèmes du domaine citent des outils de natures différentes : La Suite numérique de l'État (Docs, Visio, Fichiers, France Transfert, Tchap), créée et opérée par la DINUM (direction interministérielle du numérique), diffusée comme suite d'outils libres, mais dont l'offre mutualisée est réservée aux agents de l'État ; une organisation non éligible peut déployer sa propre instance, sous sa responsabilité. L'ouverture aux collectivités varie selon les produits et la taille de la collectivité : une offre territoriale destinée aux petites communes et intercommunalités a été annoncée par l'ANCT (Agence nationale de la cohésion des territoires), et il convient de vérifier les conditions auprès d'elle et de la DINUM. Microsoft 365, SharePoint, Alfresco ou OpenText Extended ECM (Enterprise Content Management, gestion de contenu) sont des produits du marché que nous traitons comme thèmes de travail.

Nous ne comparons pas ces outils et ne les recommandons pas. Nous ne qualifions aucun produit ni aucun hébergeur : la liste des offres qualifiées est publiée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information), et le choix d'un hébergeur, son contrat et ses engagements relèvent de la collectivité et de son service juridique.

Situations de terrain

Registre, cartographie et durées de conservation

Beaucoup de collectivités possèdent un registre établi à la hâte, au moment de l'entrée en vigueur du RGPD, puis jamais révisé. Un registre vivant s'appuie sur les services : chaque direction connaît ses traitements, mais personne n'a la vue d'ensemble. Relier le registre aux règles de conservation de l'archiviste évite deux écueils : conserver trop longtemps des données personnelles, ou éliminer sans visa des documents qui sont des archives publiques.

Un bon registre contient peu de mots inutiles : une finalité claire, les catégories de personnes et de données, les destinataires, la durée de conservation et le niveau de sécurité. Il est mis à jour à chaque nouveau projet, et sa révision annuelle est inscrite au calendrier du délégué. Il devient alors un outil de pilotage et non une obligation subie, utile aussi pour répondre à une demande d'accès d'un usager ou à une question de la CNIL.

L'analyse d'impact au moment d'un nouveau projet

Un nouveau téléservice, une vidéoprotection, un logiciel de gestion des usagers ou un outil d'analyse automatique de documents peuvent justifier une analyse d'impact. L'idéal est de la lancer avant le choix de l'outil, afin d'intégrer les mesures dans le cahier des charges. Le délégué donne son avis, le responsable du traitement décide, et la trace de cet échange est conservée.

Réagir à une violation de données

Dans les premières heures, il faut qualifier l'incident, isoler ce qui peut l'être, informer le délégué et la direction, et décider de la notification dans le délai de 72 heures. Une procédure écrite, des rôles désignés et un exercice annuel changent la qualité de la réponse. Nous aidons à la préparer, sans jamais nous substituer à la décision du responsable du traitement.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Optédif conçoit, conseille, audite, accompagne, déploie et forme. Dans ce domaine, nous auditons votre dispositif de protection des données et d'archivage, nous conseillons sur la gouvernance, nous préparons avec vous registres, analyses d'impact, procédures et plans de classement, nous déployons ou migrons un outil documentaire, nous accompagnons le délégué et les archivistes, et nous formons. Nos missions d'accompagnement sont réalisées sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, au forfait ou en récurrent. Un intervenant ne signe aucun acte et ne prend aucune décision à la place des agents ou des élus.

Lorsque nous assistons un acheteur dans la préparation d'une consultation (expression du besoin, cahier des charges, analyse des offres), nous ne candidatons pas à cette consultation. Nous n'hébergeons pas de données de santé et travaillons, autant que possible, sur des données anonymisées ou fournies à titre d'exemple. Nous restituons les livrables et, le cas échéant, les données de la collectivité dans des formats ouverts à la fin de chaque mission.

Nous commençons par un échange de cadrage qui fixe le périmètre, les livrables, les interlocuteurs et le calendrier. Nous répondons à votre première demande sous 48 heures ouvrées et établissons un devis après l'échange ; une formation peut avoir lieu au plus tôt sept jours après votre accord. Les documents que nous produisons sont conçus pour être repris par vos équipes : trames, modèles et guides de mise à jour, remis dans des formats modifiables.

Ce que nous ne faisons pas

Optédif n'est ni cabinet d'avocats, ni organisme de certification, ni prestataire qualifié par l'ANSSI. Nous ne rendons aucun avis juridique, ne rédigeons ni délibérations ni clauses contractuelles, et ne délivrons ni certification, ni qualification, ni agrément, ni attestation de conformité. Nous n'assurons pas à votre place la fonction de délégué à la protection des données et ne donnons aucune instruction à celui que vous avez désigné. Nous n'accordons pas le visa d'élimination des archives, qui relève de l'autorité chargée du contrôle. Nos formations s'adressent aux agents et aux cadres, non aux élus au titre de leur mandat, et elles complètent le plan de formation de la collectivité et l'offre du CNFPT (Centre national de la fonction publique territoriale).

Références officielles

• CNIL, désignation du délégué à la protection des données
• CNIL, organismes agréés pour la certification des compétences du DPO
• CNIL, violations de données personnelles
• FranceArchives, portail national des archives
• DINUM, La Suite numérique