Réponse courte
Prouver sa conformité ne signifie pas posséder beaucoup de documents. Une preuve utile indique ce qui a été décidé, par qui, à partir de quelles informations, à quelle date et avec quel suivi. L’accountability est donc un système vivant de décisions traçables.
À retenir
- ✓Le RGPD demande de faire et de démontrer
- ✓Une preuve répond à une question précise
- ✓Le véritable ennemi est la preuve orpheline
- ✓La date et la validation comptent autant que le contenu
Le RGPD demande de faire et de démontrer
Le principe de responsabilité est explicite : le responsable du traitement doit respecter les principes du RGPD et être en mesure de démontrer qu’ils sont respectés. La CNIL définit l’accountability comme la mise en place de mécanismes et de procédures internes permettant cette démonstration.
Ce second volet change profondément la pratique. Une politique, une clause ou une analyse n’a de valeur probante que si elle correspond à la réalité. Une durée de conservation écrite mais jamais appliquée n’est pas une maîtrise. Une formation sans liste des publics, date ni contenu ne permet pas d’établir ce qui a été fait. Un contrat correct, mais rattaché à aucun traitement ni fournisseur actif, reste difficile à exploiter.
Une preuve répond à une question précise
Un bon système de preuve part des questions auxquelles l’organisation devra répondre. Pourquoi ce traitement existe-t-il ? Sur quelle base repose-t-il ? Qui peut accéder aux données ? Quand le fournisseur a-t-il été évalué ? Quel risque a été accepté ? Quand la mesure corrective a-t-elle été vérifiée ?
Pour chaque question, la preuve doit pouvoir être retrouvée, comprise et remise en contexte. Elle peut prendre la forme d’un contrat, d’un compte rendu, d’un journal de validation, d’une capture d’écran, d’un résultat de test ou d’une attestation. Mais le fichier seul ne suffit pas. Il faut le relier à l’objet qu’il démontre, conserver sa date et savoir quand il doit être réexaminé.
Le véritable ennemi est la preuve orpheline
Dans beaucoup d’organisations, les preuves existent déjà. Elles sont simplement dispersées. Le service informatique conserve un ticket, les achats possèdent le contrat, les ressources humaines ont la procédure et le DPO tient une fiche dans un autre espace. Lorsqu’une question arrive, personne ne sait si ces éléments décrivent la même situation ni lequel est à jour.
La preuve orpheline crée un faux sentiment de sécurité. À l’inverse, une preuve rattachée à un traitement, un risque, une décision et un responsable devient exploitable. Elle peut être contrôlée, actualisée ou remplacée.
La date et la validation comptent autant que le contenu
La conformité évolue avec les outils, les équipes, les finalités et le droit. La CNIL rappelle que les actions et documents doivent être réexaminés et actualisés régulièrement. Une organisation mature définit donc des événements de révision : changement de fournisseur, nouveau type de données, évolution fonctionnelle, incident, modification réglementaire ou échéance périodique.
La validation humaine est essentielle. Un système peut signaler une incohérence ou proposer une qualification. La décision d’accepter un risque, de modifier un traitement ou de conclure à la conformité appartient à une personne habilitée. La trace doit montrer cette intervention.
Construire un dossier qui raconte l’action
Un dossier probant suit une logique simple : situation observée, analyse, décision, action, vérification. Cette chronologie est plus utile qu’une collection de modèles génériques. Elle permet à un tiers de comprendre non seulement ce que l’organisation affirme, mais comment elle gouverne la donnée dans la durée.
Ce que Lyopi apporte
Lyopi relie registre, risques, actions et pièces justificatives dans un même environnement. L’objectif n’est pas de produire artificiellement davantage de documents, mais de rendre les preuves accessibles, datées et rattachées aux décisions qu’elles soutiennent. Le journal d’audit facilite la reconstitution du chemin suivi.
Questions fréquentes
Les réponses essentielles
Qu’est-ce que l’accountability en RGPD ?
C’est l’obligation de mettre en œuvre des mesures de conformité et de pouvoir démontrer leur effectivité au moyen de mécanismes, de procédures et de preuves adaptés.
Un modèle de document constitue-t-il une preuve ?
Pas à lui seul. Il devient probant lorsqu’il est renseigné, validé, daté, appliqué et relié à la situation réelle qu’il documente.
Combien de temps conserver les preuves ?
Il n’existe pas une durée unique pour toutes les preuves. La durée dépend de leur objet, des obligations applicables, des délais de recours et de la nécessité de démontrer une action. Elle doit être définie et justifiée.
Sources
Textes et ressources de référence
Sources consultées et vérifiées lors de la mise à jour du 11 août 2026.
- www.cnil.frCNIL - Définition de l’accountability
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- www.cnil.frCNIL - Documenter la conformité
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- eur-lex.europa.euCNIL - Chapitre II du RGPD, principes
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
Note éditoriale : cette ressource fournit une information générale. Elle ne constitue ni un conseil juridique ou assurantiel personnalisé, ni une certification NIS2, ni une garantie de couverture.