Le RGPD impose aux organisations de démontrer leur conformité, pas simplement de la déclarer. Évaluer la conformité au RGPD ne se résume pas à cocher une liste de documents obligatoires. Depuis 2018, les méthodes de contrôle ont évolué, et les autorités de protection des données attendent désormais des preuves concrètes sur les pratiques réelles, pas seulement sur les intentions affichées.
Conformité RGPD et décisions automatisées : ce que la jurisprudence a changé
La plupart des guides d’évaluation RGPD se concentrent sur le registre des traitements, les mentions légales et le recueil du consentement. Ces éléments restent nécessaires, mais ils ne suffisent plus à démontrer une conformité effective, notamment quand des systèmes automatisés interviennent dans la prise de décision.
A lire aussi : Comment savoir si j’ai un ransomware ?
L’arrêt Schufa de la CJUE du 7 décembre 2023 (aff. C-634/21) a posé un principe qui modifie l’évaluation de la conformité : si un système influence de manière déterminante une décision humaine, il peut relever de la décision automatisée au sens du RGPD, même lorsqu’un opérateur valide formellement le résultat. La distinction entre supervision réelle et supervision de façade devient un critère d’évaluation à part entière.
Concrètement, une organisation qui utilise un algorithme de scoring pour filtrer des candidatures ou attribuer des crédits ne peut plus se contenter d’affirmer qu’un humain intervient dans le processus. L’évaluateur, qu’il soit interne ou mandaté par une autorité de contrôle, cherchera à vérifier si cet humain dispose du temps, de la compétence et de l’information nécessaires pour contredire la machine.
A découvrir également : Quelle est la différence entre ikev2 et openvpn ?
Audit RGPD : la CNIL exige des preuves d’efficacité du contrôle humain
Depuis 2025, la CNIL a renforcé ses attentes sur un point précis : la preuve de l’efficacité réelle du contrôle humain dans les usages d’intelligence artificielle. Lors d’un audit de conformité, les contrôleurs ne se limitent plus à vérifier l’existence d’une procédure documentée. Ils demandent des indicateurs tangibles.
Parmi les éléments que la CNIL attend désormais :
- Le taux de cas effectivement revus par un opérateur humain, et non simplement validés en bloc par un clic
- La documentation de la qualité de cette supervision : l’opérateur a-t-il accès aux données brutes, aux critères utilisés par l’algorithme, aux cas limites identifiés ?
- La traçabilité des décisions où l’humain a contredit ou modifié la recommandation du système automatisé
Ce niveau d’exigence dépasse largement les checklists classiques centrées sur le registre et les mentions d’information. Il transforme l’évaluation de la conformité en un exercice qui touche à l’organisation du travail et à la gouvernance opérationnelle, pas seulement à la documentation juridique.
Évaluation RGPD des applications mobiles : l’inventaire technique comme critère de conformité
Pour les applications mobiles, l’évaluation de la conformité RGPD a aussi changé de nature. Les autorités de contrôle ne se contentent plus de vérifier la présence d’une politique de confidentialité et d’un bandeau de consentement. L’inventaire technique des SDK intégrés dans l’application fait désormais partie du périmètre d’audit.
Un SDK (Software Development Kit) est un composant logiciel tiers embarqué dans une application. Certains SDK transmettent des données personnelles dès le premier lancement, avant même que l’utilisateur ait donné son consentement. L’évaluation de la conformité passe alors par une analyse du trafic réseau réellement émis au démarrage de l’application.
Ce type de vérification technique suppose des compétences qui dépassent le cadre juridique habituel. Un audit documentaire classique ne détectera pas un SDK qui envoie des identifiants publicitaires à un serveur tiers sans base légale. La conformité sur le papier peut masquer une non-conformité technique réelle, et c’est précisément ce décalage que les contrôles récents cherchent à identifier.
Ce que cela implique pour les organisations
Les entreprises qui éditent ou commanditent des applications mobiles doivent intégrer un audit technique à leur démarche de conformité. Vérifier les flux de données au premier lancement, cartographier les SDK présents et documenter leur base légale respective sont devenus des points de contrôle attendus.
Articulation entre AI Act et RGPD : un nouveau périmètre d’évaluation
L’entrée en application progressive de l’AI Act européen ajoute une couche supplémentaire à l’évaluation de la conformité. Les obligations de l’AI Act ne remplacent pas celles du RGPD, mais elles se superposent. Pour les systèmes d’IA à haut risque, notamment dans le recrutement ou l’accès au crédit, l’évaluation de conformité doit désormais couvrir simultanément les exigences des deux textes.
L’analyse d’impact relative à la protection des données (AIPD), déjà prévue par le RGPD pour les traitements à risque élevé, devient un document pivot. Elle doit intégrer les exigences de transparence algorithmique et de gestion des biais posées par l’AI Act, en plus des critères habituels de proportionnalité et de sécurité des données.
Les retours terrain divergent sur la manière d’articuler ces deux cadres en pratique. Certaines organisations produisent deux documents distincts, d’autres tentent de fusionner l’AIPD et l’évaluation de conformité AI Act dans un seul livrable. Aucune doctrine consolidée n’a encore émergé sur ce point, ce qui laisse une marge d’interprétation significative lors des contrôles.
Registre et documentation RGPD : nécessaires mais plus suffisants
Le registre des traitements, les contrats de sous-traitance et les mentions d’information restent le socle de toute évaluation de conformité RGPD. Sans ces éléments, aucune organisation ne peut prétendre respecter le règlement. En revanche, disposer d’un registre à jour ne garantit pas la conformité des pratiques réelles.
L’écart entre documentation et réalité opérationnelle est le principal risque identifié lors des audits. Un registre peut mentionner une durée de conservation de 24 mois alors que les données sont effectivement conservées sans limite. Un contrat de sous-traitance peut prévoir des garanties de sécurité que le prestataire n’applique pas.
L’évaluation de la conformité au RGPD se joue donc sur deux plans complémentaires : la complétude de la documentation, et la vérification que les pratiques décrites correspondent à ce qui se passe réellement dans les systèmes d’information. Les organisations qui n’évaluent que le premier plan s’exposent à des constats de non-conformité lors d’un contrôle de la CNIL, même avec un dossier documentaire apparemment irréprochable.
L’évaluation de la conformité RGPD en 2026 ne ressemble plus à celle de 2018. Les contrôleurs regardent les flux de données réels, la qualité de la supervision humaine des algorithmes et la cohérence entre documentation et pratiques. Un audit purement documentaire ne protège plus, et les organisations qui n’intègrent pas ces dimensions techniques et opérationnelles dans leur démarche d’évaluation prennent un risque croissant.
