Dossier de passation du DPO pour GDPR et ISO 27701

La notification est arrivée dans la boîte de réception de Maria avec un objet anodin : « Mise à jour de l’équipe ». David, le délégué à la protection des données (DPO) de son entreprise fintech en forte croissance, avait accepté un nouveau poste. Il partirait dans deux semaines.

Dans un premier temps, Maria, la RSSI, l’a traitée comme n’importe quel autre départ de dirigeant. Les ressources humaines géreraient le départ, l’informatique désactiverait les accès, le service juridique examinerait les dossiers ouverts et le nouveau DPO recevrait un appel de passation. Puis les vraies questions ont commencé.

« Où se trouve la DPIA de la fonctionnalité de connexion biométrique ? »

« Puis-je consulter la correspondance avec l’autorité belge de protection des données concernant l’enquête de l’an dernier sur les flux de données transfrontaliers ? »

« Quelle était la justification de l’acceptation du risque résiduel relatif à la vie privée pour le modèle de scoring de crédit fondé sur l’IA ? »

À 08 h 17 le lundi suivant, le conseil d’administration voulait l’assurance que la responsabilité au titre de GDPR restait intacte. Un grand client entreprise avait envoyé un questionnaire de diligence raisonnable relatif à la protection des données, demandant le dernier RoPA, le registre des DPIA, le registre des violations, la liste des sous-traitants ultérieurs, le calendrier de conservation et les éléments probants des avis relatifs à la protection des données. L’équipe produit voulait une approbation pour une modification analytique. Le support avait trois demandes de personnes concernées en attente. Les achats renégociaient un accord avec un sous-traitant. La sécurité enquêtait sur un événement susceptible d’impliquer des données à caractère personnel.

La passation de David se résumait à un appel de 30 minutes et à un lecteur partagé rempli de dossiers aux noms incohérents. Le contexte, les arbitrages, les décisions d’appétence au risque, l’historique avec les autorités de contrôle et les avis informels étaient partis avec lui.

C’est dans ce type de situation que la gouvernance de la protection des données démontre qu’elle est un système de management, ou révèle qu’elle reposait sur la mémoire d’une seule personne.

Un dossier de passation du DPO pour GDPR et ISO/IEC 27701:2025 n’est pas un dossier RH de départ. C’est un dossier de continuité de la responsabilité. Il indique au DPO entrant, au responsable de la protection des données, au responsable du PIMS, à l’auditeur, à l’autorité de contrôle ou au sponsor exécutif ce qui est traité, pourquoi le traitement est licite, quels risques restent ouverts, où se trouvent les éléments probants, qui est responsable de l’action suivante et quelles échéances ne doivent pas être manquées.

Le risque caché pour la protection des données : une responsabilité confinée dans un seul rôle

GDPR rend la responsabilité explicite. L’Article 5(2) impose aux responsables du traitement d’être responsables du respect des principes fondamentaux de licéité, loyauté et transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité et confidentialité, et d’être en mesure de démontrer cette conformité. Les Articles 4, 6, 9, 10 et 30 ajoutent le vocabulaire opérationnel et les attentes en matière d’éléments probants qui doivent survivre à un changement de rôle : données à caractère personnel, traitement, base légale, conditions applicables aux catégories particulières, définitions des violations et registres des activités de traitement.

La question n’est pas de savoir si l’organisation avait un DPO compétent. La question est de savoir si le programme de protection des données peut continuer à fonctionner lorsque le DPO change.

Lorsqu’un DPO part, l’organisation doit encore savoir :

• Quelles activités de traitement sont actives, suspendues, retirées ou en cours de revue.
• Quelles bases légales et conditions applicables aux catégories particulières soutiennent chaque activité.
• Quelles DPIA contiennent des risques non résolus ou des approbations conditionnelles.
• Quelles demandes de personnes concernées sont ouvertes, prolongées, rejetées ou contestées.
• Quelles violations ont été notifiées, non notifiées ou restent en cours d’évaluation.
• Quels sous-traitants, sous-traitants ultérieurs et mécanismes de transfert sont en place.
• Quelles communications avec les autorités de contrôle, quels engagements clients et quelles actions d’audit sont en attente.
• Quels avis relatifs à la protection des données ont été donnés, quand ils l’ont été et sur la base de quelles hypothèses.

C’est la dépendance classique à une personne clé. Le cerveau du DPO devient le référentiel principal des décisions relatives à la protection des données, des appréciations des risques et des échanges réglementaires. Lorsque cette personne part, l’organisation perd plus qu’un titulaire de rôle. Elle perd la traçabilité nécessaire pour démontrer la conformité.

La politique Enterprise de Clarysec Politique relative aux rôles, responsabilités et à la responsabilité en matière de protection des données [C1] fait de la transition de rôle une obligation en matière d’éléments probants :

[Tous] Le responsable de la protection des données / responsable du PIMS DOIT enregistrer les éléments probants de passation de rôle dans REG01 et REG12 dans un délai de 10 jours ouvrés suivant un changement de rôle.

Extrait de la section « Mise en œuvre », clause de politique 7.1.6.

La même politique exige également des éléments probants de communication après une réaffectation ou un départ :

[Tous] Le responsable de la protection des données / responsable du PIMS DOIT mettre à jour les éléments probants de communication relatifs au changement de rôle dans REG11 dans un délai de 10 jours ouvrés après la réaffectation ou le départ lié au rôle.

Extrait de la section « Éléments probants de responsabilité et communication », clause de politique 4.5.4.

Ces deux clauses transforment un changement de personnel en contrôle auditable de protection des données. La passation n’est plus un transfert informel de connaissances. Elle devient un élément probant documenté du PIMS.

Ce qu’est réellement un dossier de passation du DPO

Un bon dossier de passation du DPO n’est pas un PDF unique. C’est un dossier d’éléments probants maîtrisé, comportant un index, des propriétaires, des liens, des champs de statut, un historique des décisions et des règles de récupération. Il doit permettre à un DPO entrant de comprendre le niveau de maîtrise de la protection des données de l’organisation en quelques heures, et non en plusieurs semaines.

Considérez-le comme l’enregistreur de vol du programme de protection des données. Il doit montrer non seulement ce qui s’est passé, mais aussi pourquoi les décisions ont été prises et ce qui doit se produire ensuite.

Un dossier de passation du DPO opérationnel doit répondre à quatre questions :

1. Quelles obligations et décisions relatives à la protection des données sont actuellement actives ?
2. Quels éléments probants démontrent que ces obligations sont gérées ?
3. Qui est responsable de chaque point ouvert pendant et après la transition ?
4. Quels risques, échéances ou sujets sensibles sur le plan réglementaire nécessitent une attention immédiate ?

Le dossier ne doit pas dupliquer chaque enregistrement. La duplication crée des éléments probants obsolètes. Il doit plutôt pointer vers l’enregistrement faisant autorité, expliquer le statut, identifier la responsabilité et signaler la prochaine décision requise.

La politique Enterprise de Clarysec Politique de gestion des informations documentées et des éléments probants du PIMS [C2] établit le socle des éléments probants :

[Tous] Le responsable de la protection des données / responsable du PIMS DOIT tenir à jour un index des informations documentées du PIMS dans REG12 avant la publication initiale du PIMS, puis chaque trimestre.

Extrait de la section « Maîtrise des informations documentées du PIMS », clause de politique 4.1.1.

Elle exige également des éléments probants de récupération :

[Tous] Le responsable de la protection des données / responsable du PIMS DOIT enregistrer les demandes de récupération d’éléments probants d’audit et leur statut d’exécution dans REG12 dans un délai de cinq jours ouvrés après réception de la demande.

Extrait de la section « Accès, protection, récupération et divulgation », clause de politique 4.4.4.

Un dossier de passation du DPO doit donc être construit autour de REG12 ou d’un index équivalent des informations documentées. Si les éléments probants relatifs à la protection des données ne peuvent pas être localisés rapidement pendant une transition, ils ne peuvent pas soutenir la responsabilité lorsqu’un auditeur, un client ou une autorité de contrôle demande une preuve.

L’anatomie centrale d’un dossier de passation du DPO exploitable en audit

Les mises en œuvre Clarysec divisent généralement le dossier de passation du DPO en dix sections. Ces sections donnent au DPO entrant une vue opérationnelle unique sans remplacer les systèmes d’enregistrement faisant autorité.

La partie la plus utile du dossier n’est souvent pas constituée par les documents eux-mêmes. C’est le contexte entre les documents. Une DPIA peut montrer une conclusion, mais le DPO entrant doit aussi savoir quel avis a été donné, quels risques résiduels ont été acceptés, quelles conditions ont été attachées et si ces conditions font encore l’objet d’une surveillance.

L’ossature GDPR : RoPA, DPIA, DSR, violations et base légale

Un dossier de passation du DPO doit commencer par l’ossature opérationnelle de GDPR. C’est là que de nombreuses transitions échouent, car le DPO sortant connaît l’historique derrière les enregistrements, tandis que le DPO entrant ne voit que des fragments.

La politique Enterprise Politique de protection des données et de la vie privée [C3] attribue au DPO la responsabilité des principaux enregistrements :

Tient à jour le registre des activités de traitement (RoPA) conformément à l’Article 30 de GDPR.

Extrait de la section « Rôles et responsabilités », clause de politique 4.2.2.

Elle indique également :

Pilote les échanges avec les autorités de contrôle, conduit les analyses d’impact relatives à la protection des données (DPIA) et gère les processus de notification des violations.

Extrait de la section « Rôles et responsabilités », clause de politique 4.2.3.

Et pour la gestion des droits :

Le délégué à la protection des données (DPO) DOIT maintenir des processus documentés pour la réception, la validation, le suivi et la réponse aux demandes des personnes concernées (DSR).

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.4.1.

Ce ne sont pas des tâches administratives séparées. Elles forment une chaîne de responsabilité.

Si une personne concernée demande l’effacement, le DPO entrant a besoin du RoPA pour identifier les systèmes et les sous-traitants, du registre des bases légales pour évaluer si l’effacement s’applique, du calendrier de conservation pour vérifier la limitation de la conservation, des enregistrements fournisseurs pour coordonner la suppression en aval, et du registre des DSR pour fournir les éléments probants de la chronologie et de la réponse. Si le DPO change en cours de demande, le dossier de passation doit préserver cette chaîne.

Pour les organisations plus petites, la politique Clarysec Data Protection and Privacy Policy-sme [C4] utilise un langage adapté à l’échelle tout en conservant le même principe de responsabilité :

Tient à jour les registres des activités de traitement.

Extrait de la section « Rôles et responsabilités », clause de politique 4.2.1.

Elle exige également :

Le coordinateur de la protection des données DOIT tenir à jour un registre de toutes les activités de traitement de données à caractère personnel, incluant les catégories de données, la finalité, la base légale et les durées de conservation.

Extrait de la section « Exigences de gouvernance », clause de politique 5.2.1.

Et pour les demandes d’exercice des droits :

Toutes les réponses aux demandes des personnes concernées DOIVENT être consignées dans un registre sécurisé, dont l’accès est limité au coordinateur de la protection des données et au DG.

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.5.4.

Pour les environnements entreprise comme PME, le dossier de passation doit inclure un tableau de bord des opérations de protection des données présentant le statut du RoPA, des DPIA, des DSR, des violations, des revues de conservation et des revues fournisseurs. C’est ainsi qu’une organisation prouve que la responsabilité au titre de GDPR ne dépend pas d’une seule personne.

ISO/IEC 27701:2025 : la transition de rôle comme élément probant maîtrisé du PIMS

ISO/IEC 27701:2025 étend la gouvernance de la protection des données dans un système de management des informations relatives à la vie privée structuré. Cela signifie que la transition de rôle doit être traitée comme tout autre processus maîtrisé : planifiée, attribuée, étayée par des éléments probants, revue et améliorée.

Le dossier de passation doit inclure des champs de continuité PIMS pour chaque processus majeur de protection des données :

• Nom du processus, par exemple DPIA, RoPA, DSR, évaluation d’une violation de données à caractère personnel ou revue de la protection des données fournisseurs.
• Rôle PIMS, par exemple DPO, responsable de la protection des données, responsable du PIMS, représentant du responsable du traitement ou représentant du sous-traitant.
• Rôle opérationnel, par exemple responsable du traitement, sous-traitant, responsable conjoint du traitement ou sous-traitant ultérieur.
• Propriétaire actuel et délégué temporaire.
• Référence du registre des éléments probants.
• Date de dernière revue et date de prochaine revue.
• Décisions ouvertes et risques non résolus.
• Circuit d’escalade.
• Liens vers les clauses de politique, procédures et modèles.
• Statut d’audit, incluant la dernière demande d’éléments probants et la réponse.

La politique Enterprise Politique du système de management des informations relatives à la vie privée [C5] fait de l’avis relatif à la protection des données un élément probant à part entière :

[Tous] Le délégué à la protection des données / conseiller en protection des données DOIT enregistrer les avis relatifs à la protection des données concernant le périmètre du PIMS, les critères de DPIA et les décisions à haut risque dans REG04 avant l’approbation de la décision concernée.

Extrait de la section « Rôles et responsabilités », clause de politique 5.1.3.

Cette clause est critique pendant la passation. Le rapport de DPIA peut montrer l’approbation finale, mais REG04 ou un registre équivalent des avis relatifs à la protection des données préserve le raisonnement professionnel qui sous-tend la décision. Sans cela, le nouveau DPO peut être incapable d’expliquer pourquoi l’organisation a approuvé une activité de traitement à haut risque ou quelles conditions de surveillance y étaient attachées.

Clarysec relie également la transition de rôle à la gouvernance plus large. La politique Enterprise Politique relative aux rôles et responsabilités de gouvernance [C6] indique :

Les délégations DOIVENT être suivies dans le registre des rôles et responsabilités, et le propriétaire initial conserve la responsabilité ultime.

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.2.5.

Cela évite la lacune de transition la plus dangereuse : chacun suppose que quelqu’un d’autre couvre les DSR, les DPIA, les évaluations de violation ou les réponses aux autorités de contrôle. Un dossier de passation du DPO robuste inclut un tableau des délégations et indique clairement si chaque responsabilité est permanente, intérimaire ou consultative.

Construire le référentiel avec le Zenith Blueprint

Un dossier de passation n’a de valeur que si le référentiel qui le sous-tend est fiable. Un lecteur partagé chaotique n’est pas un système d’éléments probants du PIMS.

Le Zenith Blueprint : feuille de route de l’auditeur en 30 étapes [C7] de Clarysec traite la documentation comme un système de management vivant. Dans la phase Fondation et leadership du SMSI, étape 6, « Informations documentées et constitution de la bibliothèque SMSI », le Zenith Blueprint recommande aux organisations de créer un référentiel structuré de documentation du SMSI :

C’est le bon moment pour mettre en place une structure de stockage de toute votre documentation SMSI (votre « bibliothèque SMSI »). Par exemple :

✓ Un dossier principal nommé « Documentation SMSI » avec des sous-dossiers tels que : ✓ Politiques et procédures : contenant les versions approuvées des politiques (par exemple, politique de sécurité de l’information, politique d’utilisation acceptable) et des procédures (procédure de réponse aux incidents, procédure de sauvegarde, etc.). ✓ Appréciation des risques et SoA : un dossier pour les rapports d’appréciation des risques, le registre des risques (fichier de travail) et la Déclaration d’applicabilité (lorsqu’elle est rédigée). ✓ Enregistrements de formation et de sensibilisation : journaux de formation, copies de tout contenu fourni, feuilles de présence. ✓ Audit et revue : rapports d’audit interne, comptes rendus de réunion de revue de direction, journaux d’actions correctives. ✓ Enregistrements d’incidents : journal des incidents, rapports d’incident, documents d’enseignements tirés. ✓ Actifs et inventaire : listes d’actifs, résultats de classification des données, etc. ✓ Contrôles de l’Annexe A (ou « Bibliothèque des contrôles ») : éventuellement la liste des contrôles et toute documentation relative à leur mise en œuvre.

Assurez-vous que ce référentiel est accessible mais sécurisé. Par exemple, les politiques peuvent se trouver dans un dossier en lecture publique pour l’ensemble des employés, tandis que le dossier d’appréciation des risques peut être limité à l’équipe SMSI et à la direction générale.

Extrait de la phase Fondation et leadership du SMSI, étape 6 : Informations documentées et constitution de la bibliothèque SMSI.

Pour un dossier de passation du DPO, le même modèle devient une bibliothèque PIMS. Un dossier de premier niveau pratique est « Passation DPO et responsabilité du PIMS », avec un accès limité au DPO, au responsable de la protection des données, au conseil juridique, au RSSI, à l’audit interne et aux dirigeants approuvés.

Pour les PME, le même principe peut être mis en œuvre plus simplement. La politique Clarysec Audit and Compliance Monitoring Policy-sme [C8] indique :

Tous les éléments probants DOIVENT être conservés dans un dossier d’audit centralisé.

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.2.1.

Le niveau de maturité peut varier, mais le principe ne doit pas varier. Les éléments probants relatifs à la protection des données doivent être centralisés, maîtrisés, indexés et récupérables.

Les points d’ancrage ISO : rôles, enregistrements et protection des PII

Le dossier de passation du DPO se rattache fortement à trois contrôles organisationnels ISO/IEC 27002:2022 présentés dans le Zenith Controls : guide de cartographie croisée de conformité [C9] de Clarysec. Il s’agit de contrôles ISO, et non d’un jeu de contrôles distinct créé par Zenith.

Ces contrôles se rattachent également aux exigences du système de management ISO/IEC 27001:2022. La Clause 5.3 exige que les rôles, responsabilités et autorités organisationnels soient attribués et communiqués. La Clause 7.5 exige que les informations documentées soient maîtrisées. La Clause 6.1 exige la planification des risques et opportunités, y compris le traitement des risques. La Clause 8.1 exige la planification et la maîtrise opérationnelles. La Clause 9.1 exige la surveillance et l’évaluation. La Clause 10.2 exige des actions correctives.

Un dossier de passation du DPO soutient chacune de ces attentes en transformant la transition de rôle en éléments probants maîtrisés, contrôlés et auditables.

Un exercice en une session pour construire le dossier de passation du DPO

Il n’est pas nécessaire d’attendre une lettre de démission. Réalisez cet exercice avant le départ d’un DPO, pendant un audit interne relatif à la protection des données ou après la nomination d’un nouveau responsable de la protection des données.

Étape 1 : créer l’index de passation

Ouvrez REG12, ou votre index des informations documentées, et créez une section nommée « Dossier de passation du DPO ». Ajoutez des champs pour :

• Élément probant.
• Domaine de processus.
• Emplacement faisant autorité.
• Propriétaire.
• Propriétaire suppléant.
• Dernière revue.
• Prochaine revue.
• Niveau de confidentialité.
• Action ouverte.
• Pertinence pour l’audit.

Renseignez les 25 premières entrées. Commencez par le RoPA, le registre des DPIA, le registre des DSR, le registre des violations, le registre des fournisseurs, le calendrier de conservation, le registre des avis relatifs à la protection des données, le dossier de correspondance avec les autorités de contrôle, le registre des risques relatifs à la vie privée et le périmètre du PIMS.

Étape 2 : construire la liste de surveillance des échéances à 30, 60 et 90 jours

Créez un tableau de bord de zone rouge pour les éléments dus dans les 30, 60 et 90 prochains jours. Incluez :

• Demandes de personnes concernées ouvertes.
• Approbations de DPIA en attente.
• Évaluations de violations ouvertes.
• Échéances de réponse aux autorités de contrôle ou aux clients.
• Dates de revue des fournisseurs.
• Échéances de notification relatives aux transferts ou aux sous-traitants ultérieurs.
• Jalons de revue de conservation.
• Actions correctives d’audit.

C’est la page que le DPO entrant lit en premier.

Étape 3 : rattacher les processus à haut risque à des propriétaires nommés

Utilisez le registre des rôles et responsabilités. Pour chaque processus, documentez si le DPO sortant était responsable, redevable, consulté ou informé. Désignez un propriétaire intérimaire pour chaque processus en production. Suivez la délégation et communiquez le changement, conformément à la Politique relative aux rôles, responsabilités et à la responsabilité en matière de protection des données et à la Politique relative aux rôles et responsabilités de gouvernance.

Étape 4 : préserver le contexte décisionnel

Pour chaque DPIA active ou décision à haut risque, ajoutez une note concise d’historique de décision :

• Qu’est-ce qui était proposé ?
• Pourquoi une DPIA était-elle nécessaire ou non nécessaire ?
• Quel avis relatif à la protection des données a été donné ?
• Quels risques subsistent ?
• Qui a accepté le risque résiduel ?
• Quelles conditions doivent être surveillées ?

C’est ici que REG04 devient essentiel. Sans avis enregistré, le DPO entrant peut ne voir que l’approbation finale et manquer les contraintes qui la sous-tendent.

Étape 5 : tester la récupération

Demandez à l’audit interne ou à la conformité de demander cinq éléments du dossier de passation :

1. L’entrée RoPA pour une activité de traitement à haut risque.
2. La DPIA et l’enregistrement d’avis pour la même activité.
3. L’accord de sous-traitance qui la soutient.
4. La règle de conservation applicable aux données.
5. La décision DSR ou de violation la plus récente impliquant ce processus, le cas échéant.

Si l’équipe ne peut pas récupérer ces éléments dans le délai fixé par la politique, le dossier de passation n’est pas prêt.

Dépendances fournisseurs, sous-traitants et cloud

De nombreuses transitions de DPO échouent à la frontière entre protection des données, achats, sécurité et opérations.

Un DPO sortant peut savoir qu’un sous-traitant a un constat d’audit non résolu, qu’une notification de sous-traitant ultérieur nécessite une revue ou qu’un contrat ne contient pas de clauses suffisantes d’assistance en cas d’incident. Si cette connaissance n’est pas capturée, le DPO entrant hérite d’un risque caché.

La politique Clarysec Third-Party and Supplier Security Policy-sme [C10] établit le socle des éléments probants :

Un registre des fournisseurs DOIT être tenu à jour et mis à jour par le contact administratif ou achats. Il DOIT inclure :

Extrait de la section « Exigences de gouvernance », clause de politique 5.4.

Le dossier de passation doit relier le registre des fournisseurs aux éléments suivants :

• Accords de traitement des données.
• Listes de sous-traitants ultérieurs.
• Documentation de transfert.
• Diligence raisonnable de sécurité.
• Clauses de notification d’incident.
• Droits d’audit.
• Obligations de sortie et de suppression.
• Points de remédiation ouverts.

C’est également ici que NIS2 et DORA sont importants.

NIS2 exige des entités essentielles et importantes qu’elles adoptent des mesures techniques, opérationnelles et organisationnelles appropriées de gestion des risques de cybersécurité. Ses domaines de gestion des risques incluent la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, l’acquisition et le développement sécurisés, la gestion des vulnérabilités, l’évaluation de l’efficacité, l’hygiène cyber, la formation, la cryptographie, la sécurité RH, le contrôle d’accès et la gestion des actifs.

DORA impose aux entités financières de maintenir une gouvernance TIC, une gestion des risques liés aux TIC, une classification et une notification des incidents, des tests de résilience opérationnelle numérique et une gestion des risques liés aux prestataires tiers TIC. Pour les fonctions critiques ou importantes, DORA attend également des garanties contractuelles robustes, des droits d’accès et d’audit, des droits de résiliation, des stratégies de sortie et des dispositifs de transition.

Un dossier de passation du DPO doit identifier les fournisseurs pertinents pour la protection des données qui relèvent aussi des obligations de résilience opérationnelle. Si un sous-traitant soutient un service financier critique ou un service numérique important, le DPO entrant doit comprendre l’impact réglementaire d’une défaillance fournisseur, d’une notification d’incident tardive ou d’une faiblesse contractuelle.

Continuité des incidents et des violations

Le contexte des violations de données à caractère personnel est très périssable. Lors d’une transition de DPO, il est facile de perdre la raison pour laquelle une décision de non-notification a été prise, pourquoi une notification a été retardée ou pourquoi un groupe particulier de personnes a été considéré comme affecté.

GDPR définit largement la violation de données à caractère personnel, incluant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données à caractère personnel, de manière accidentelle ou illicite. La réponse aux incidents doit donc inclure un triage relatif à la protection des données, et pas seulement un confinement technique.

Le Zenith Blueprint, dans la phase Contrôles en action, étape 23, souligne l’interface juridique dans les contrôles liés à la protection des données :

Le contrôle introduit également une interface juridique dans le SMSI. Les responsables de la protection des données, conseils juridiques ou délégués à la protection des données (DPO) doivent être impliqués dans la définition du traitement des données à caractère personnel, en particulier lorsqu’il s’agit de transferts internationaux, de traitements transfrontaliers ou de droits des personnes concernées tels que l’accès, la rectification et la suppression. Ce ne sont pas seulement des droits : ce sont des obligations opérationnelles, qui doivent être soutenues par des processus structurés et auditables.

Du point de vue de l’audit, ce contrôle est de plus en plus examiné. Les auditeurs, autorités de contrôle et clients veulent tous voir :

✓ Où résident les PII, ✓ Quelle base légale régit leur traitement, ✓ Comment l’accès est restreint, ✓ Comment les incidents sont signalés, ✓ Et comment l’organisation respecte les droits et maintient la transparence.

Extrait de la phase Contrôles en action, étape 23 : contrôles organisationnels (5.19–5.37).

Pour chaque incident de données à caractère personnel ouvert ou récemment clôturé, le dossier de passation doit inclure une fiche de continuité de violation.

Cela soutient également les attentes de NIS2 et DORA en matière d’incidents. NIS2 utilise un reporting par étapes pour les incidents significatifs, comprenant une alerte précoce, une notification, des mises à jour lorsque nécessaire et un rapport final. DORA exige des entités financières qu’elles détectent, gèrent, classifient et notifient les incidents majeurs liés aux TIC, avec des rapports initial, intermédiaire et final ainsi qu’une analyse de la cause racine. Un nouveau DPO doit être capable de distinguer un incident de sécurité, une violation de données à caractère personnel, un incident significatif NIS2 et un incident majeur lié aux TIC au titre de DORA, y compris lorsqu’un même événement déclenche plusieurs workflows.

Conservation et élimination : le risque discret de la passation

Les règles de conservation deviennent souvent obsolètes pendant les transitions de rôle, car elles se situent entre les affaires juridiques, la gestion des enregistrements, l’informatique et les responsables métier. Pourtant, la limitation de la conservation prévue par GDPR exige que les données à caractère personnel ne soient pas conservées plus longtemps que nécessaire au regard des finalités du traitement.

La politique Enterprise Politique de conservation et d’élimination des données [C11] attribue un rôle de contrôle relatif à la protection des données :

Examine et valide les calendriers de conservation des données à caractère personnel afin de garantir l’existence d’une base légale pour la poursuite du stockage.

Extrait de la section « Rôles et responsabilités », clause de politique 4.3.2.

Le dossier de passation doit identifier les calendriers de conservation nécessitant une revue, les systèmes dans lesquels la suppression est techniquement contrainte, les gels légaux, les jeux de données archivés, les enjeux de conservation des sauvegardes et les dépendances de suppression côté sous-traitants.

Un test utile est simple. Choisissez une entrée RoPA et demandez si le DPO entrant peut déterminer la durée de conservation, l’événement déclencheur de suppression, le propriétaire du système, l’implication d’un sous-traitant, le traitement des sauvegardes et les éléments probants de la dernière revue. Si ce n’est pas le cas, la responsabilité relative à la conservation n’est pas prête pour la transition.

Cartographie croisée de conformité : un fichier, plusieurs attentes

Un dossier de passation du DPO solide ne remplace pas les obligations légales, mais il donne aux auditeurs et aux autorités de contrôle une piste d’éléments probants cohérente entre les référentiels.

NIST CSF 2.0 est particulièrement utile comme couche de communication. Sa fonction GOVERN attend que les obligations légales, réglementaires, contractuelles, de protection des données et relatives aux libertés civiles soient comprises et gérées. Sa méthode des profils organisationnels aide les organisations à définir les états actuel et cible, collecter les politiques et les entrées de risque, identifier les écarts et créer des plans d’action priorisés.

C’est exactement ce que fait un dossier de passation du DPO. Il définit le niveau actuel de protection des données, identifie les exigences de continuité cibles et crée une liste de remédiation priorisée.

Comment les auditeurs examinent un processus de passation du DPO

Un auditeur sérieux ne s’arrêtera pas au nom du DPO. Il testera si la fonction de protection des données est résiliente.

Le constat le plus fréquent n’est pas l’absence totale de dossier de passation. C’est l’absence de lien entre les éléments probants et les décisions. Les auditeurs ne veulent pas seulement des documents. Ils veulent de la traçabilité.

Schémas d’échec courants et corrections Clarysec

Le premier schéma d’échec est la passation par boîte de réception. Le DPO sortant transfère des courriels, mais il n’existe aucun registre indexé des éléments probants. Clarysec corrige cela en imposant le versement des éléments probants dans REG12 et en reliant chaque élément à un processus, un propriétaire et une date de revue.

Le deuxième est la passation par modèle. L’organisation dispose de modèles de DPIA et de DSR, mais d’aucun statut actuel. Clarysec corrige cela au moyen d’un tableau de bord de zone rouge des échéances ouvertes, des décisions à haut risque et des actions non résolues.

Le troisième est la politique sans délégation. Les politiques indiquent que le DPO détient la protection des données, mais personne n’enregistre la responsabilité intérimaire. Clarysec corrige cela au moyen du registre des rôles et responsabilités, des éléments probants de passation de rôle dans REG01 et REG12, et des éléments probants de communication dans REG11.

Le quatrième est l’angle mort fournisseur. Les enregistrements relatifs à la protection des données des sous-traitants ne sont pas reliés aux enregistrements achats et sécurité. Clarysec corrige cela en reliant le registre des fournisseurs, le référentiel des DPA, la liste des sous-traitants ultérieurs, les clauses d’incident, les obligations de sortie et la diligence raisonnable de sécurité.

Le cinquième est la lacune de contexte d’incident. L’enregistrement technique de l’incident existe, mais le raisonnement relatif à la violation de données à caractère personnel manque. Clarysec corrige cela en exigeant des fiches de continuité des violations qui préservent l’analyse de notification, l’impact sur les personnes concernées, les décisions relatives aux autorités de contrôle et les enseignements tirés.

Votre liste de contrôle de préparation à la passation du DPO sur 30 jours

Si votre DPO ou responsable de la protection des données changeait demain, pourriez-vous prouver la continuité ? Utilisez cette liste de contrôle.

• Confirmer que le DPO, le responsable de la protection des données, le responsable du PIMS et les suppléants sont enregistrés dans le registre des rôles.
• Enregistrer les éléments probants de passation de rôle dans REG01 et REG12 dans un délai de 10 jours ouvrés.
• Mettre à jour les éléments probants de communication relatifs au changement de rôle dans REG11 dans un délai de 10 jours ouvrés.
• Vérifier que l’index REG12 des informations documentées du PIMS est à jour.
• Créer une liste de surveillance des échéances de protection des données à 30, 60 et 90 jours.
• Examiner les DSR ouvertes et confirmer les responsables de réponse.
• Examiner toutes les DPIA actives et décisions à haut risque.
• Confirmer que REG04 inclut les avis relatifs à la protection des données pour le périmètre du PIMS, les critères de DPIA et les décisions à haut risque.
• Rapprocher le RoPA des systèmes, fournisseurs et calendriers de conservation.
• Examiner les évaluations de violations ouvertes et récentes.
• Confirmer que les enregistrements des sous-traitants, sous-traitants ultérieurs et fournisseurs sont complets.
• Valider les calendriers de conservation des données à caractère personnel.
• Tester la récupération de cinq éléments probants critiques.
• Reporter le statut de transition à la direction.
• Ajouter les enseignements tirés au plan d’amélioration du PIMS.

Rendre la continuité de la protection des données exploitable en audit avant le changement de rôle

Le meilleur moment pour constituer un dossier de passation du DPO est avant toute démission, avant toute demande d’une autorité de contrôle et avant qu’un incident n’impose le sujet.

Clarysec aide les organisations à transformer la gouvernance de la protection des données en éléments probants opérationnels en combinant modèles de politiques, registres PIMS, workflows de passation, référentiels exploitables en audit et cartographies croisées de conformité. Commencez avec le Zenith Blueprint pour la feuille de route de mise en œuvre en 30 étapes, utilisez les Zenith Controls pour relier les contrôles ISO/IEC 27002:2022 aux attentes de conformité plus larges, et alignez vos clauses internes avec les politiques Clarysec de protection des données et de gestion des éléments probants.

Si votre DPO changeait demain, votre organisation conserverait-elle le contexte derrière chaque DPIA, décision de violation, entrée RoPA et engagement envers une autorité de contrôle ?

Si la réponse est incertaine, la prochaine étape est pratique. Construisez l’index de passation, cartographiez les éléments probants, désignez des propriétaires intérimaires et testez la récupération cette semaine. Clarysec peut vous aider à rendre ce dossier complet, maîtrisé et exploitable en audit.