Cartographie et analyse de risques RGPD : la méthode

Avant de rédiger votre registre, avant de lancer la moindre analyse d'impact, une question conditionne tout le reste : savez-vous exactement quelles données personnelles circulent dans votre organisation, et pour quoi faire ? Sans cette vision d'ensemble, la conformité repose sur des suppositions.

La cartographie des traitements et l'analyse de risques forment le socle opérationnel du RGPD. La première recense ce que vous faites des données. La seconde évalue ce qui pourrait mal tourner pour les personnes concernées, et à quel point. Ces deux exercices ne se confondent pas, et l'un ne remplace pas l'autre.

La cartographie recense vos traitements (le "quoi"). L'analyse de risques cote chaque menace en gravité multipliée par vraisemblance (le "combien"). L'AIPD approfondit uniquement les traitements à risque élevé au sens de l'article 35 du RGPD. Trois exercices distincts, une même logique de priorisation.

Ce guide vous donne la méthode complète : pourquoi cartographier d'abord, comment recenser vos traitements par service et par finalité, comment coter les risques selon la grille de la CNIL, et comment en tirer un plan d'action tenable.

Vous voulez une base de conformité solide sans y passer des mois ? Découvrez notre guide RGPD complet →

Cartographie, analyse de risques, AIPD : de quoi parle-t-on ?

La cartographie des traitements est l'inventaire structuré de toutes les opérations sur données personnelles menées par une organisation. L'analyse de risques évalue, pour chaque traitement, la probabilité et la gravité d'un incident touchant les personnes concernées. L'AIPD (analyse d'impact relative à la protection des données) est l'étude approfondie réservée aux traitements susceptibles d'engendrer un risque élevé.

La cartographie : recenser sans juger

Cartographier, c'est dresser la liste exhaustive de vos traitements et documenter, pour chacun, sa finalité, les catégories de données personnelles concernées, les personnes visées, les destinataires et les durées de conservation. À ce stade, vous ne portez aucun jugement de valeur. Vous constatez. Cette photographie alimente directement votre registre au titre de l'article 30 du RGPD.

L'analyse de risques : coter la menace

L'analyse de risques ajoute une couche d'évaluation. Pour chaque traitement, vous vous demandez ce qui pourrait mal se passer pour les personnes, avec quelle intensité, et avec quelle probabilité. Le résultat n'est pas une liste, c'est une hiérarchie : certains traitements ressortent comme prioritaires, d'autres comme secondaires.

L'AIPD : le zoom sur les risques élevés

L'AIPD intervient en bout de chaîne, uniquement quand un traitement présente un risque élevé pour les droits et libertés des personnes. L'article 35 du RGPD la rend obligatoire dans ce cas. L'analyse de risques constitue le coeur de l'AIPD, mais l'AIPD va plus loin : elle documente aussi la nécessité, la proportionnalité et les mesures de traitement du risque.

Pour approfondir cette étape, consultez notre pilier dédié : comment mener une AIPD.

Pourquoi cartographier avant tout le reste

La cartographie est le préalable à toute obligation documentaire du RGPD. Sans inventaire des traitements, vous ne pouvez ni tenir un registre conforme à l'article 30, ni identifier les traitements qui déclenchent une AIPD au titre de l'article 35, ni prioriser vos actions de mise en conformité.

Le registre découle de la cartographie

Le registre des traitements n'est pas un document que l'on invente de zéro. C'est la mise en forme documentaire de votre cartographie. Chaque ligne du registre correspond à un traitement recensé. Si votre cartographie est incomplète, votre registre l'est aussi, et la responsabilité du responsable de traitement reste engagée sur ce que vous avez oublié.

On ne protège que ce que l'on connaît

Un traitement non recensé est un traitement non sécurisé, non tracé, sans base légale vérifiée. La cartographie fait remonter les angles morts : le fichier Excel RH partagé sur un drive, l'outil marketing branché sans validation, l'export client transmis à un prestataire non encadré. Ces zones grises sont précisément celles qui déclenchent les incidents.

La priorisation devient possible

Une organisation qui traite des dizaines de finalités ne peut pas tout sécuriser en même temps. La cartographie, croisée avec l'analyse de risques, indique où concentrer l'effort. Vous investissez d'abord sur les traitements qui, en cas d'incident, feraient le plus de dégâts aux personnes. La minimisation des données devient elle aussi actionnable : on ne minimise que ce que l'on a d'abord cartographié.

Vous partez de zéro ? Notre guide RGPD détaille chaque étape de la mise en conformité →

Exemple concret : la cartographie d'une PME de 40 salariés

Prenons une entreprise de services de 40 personnes, sans DPO désigné, qui pense être "à peu près en règle". Le dirigeant lance une cartographie sur une demi-journée d'atelier, service par service.

Le service commercial révèle un CRM contenant les coordonnées de 12 000 prospects, dont une partie collectée sans base légale claire. Le service RH gère les dossiers du personnel, avec des données de santé liées aux arrêts maladie, donc des données sensibles au sens de l'article 9. Le marketing utilise un outil d'emailing hébergé hors Union européenne. La comptabilité conserve des factures depuis onze ans, bien au-delà de la durée nécessaire.

En une session, la cartographie fait apparaître 14 traitements. L'analyse de risques qui suit les hiérarchise. Le fichier RH avec données de santé ressort en gravité maximale : un accès illégitime exposerait des informations intimes sur les salariés. Le CRM prospects ressort en vraisemblance importante : mal cloisonné, il est le plus exposé à une fuite.

Le résultat tient sur une page : deux traitements prioritaires (RH santé et CRM), quatre traitements à surveiller, huit traitements à risque faible. Le dirigeant sait désormais par où commencer, au lieu de se disperser. L'un des deux traitements prioritaires, le fichier RH avec données de santé, relève d'ailleurs d'une AIPD obligatoire.

Les principes d'une cartographie exploitable

Une cartographie utile respecte cinq principes : elle est exhaustive, structurée par finalité, documentée avec les mêmes champs que le registre, tenue à jour, et validée par les métiers qui manipulent réellement les données.

1. Exhaustivité avant précision : mieux vaut lister un traitement de façon incomplète que l'oublier. Un premier passage large capte tout, un second affine. Interrogez chaque service : quelles données recevez-vous, créez-vous, transmettez-vous ?
2. Une entrée par finalité, pas par outil : un même logiciel peut porter plusieurs finalités (gestion de la paie et suivi des congés). Chaque finalité distincte est un traitement distinct. C'est la logique de l'article 5 du RGPD sur la limitation des finalités.
3. Les mêmes champs que le registre : finalité, catégories de personnes, catégories de données, destinataires, durée de conservation, base légale, transferts hors UE. Cartographier avec ces colonnes vous évite de tout ressaisir ensuite.
4. Le repérage des données sensibles : signalez dès la cartographie les traitements portant sur la santé, les opinions, la biométrie ou toute donnée de l'article 9. Ce sont eux qui, le plus souvent, déclencheront une AIPD.
5. Une cartographie vivante : un inventaire figé se périme en quelques mois. Chaque nouvel outil, chaque nouvelle finalité doit y entrer. Prévoyez une revue au moins annuelle, et un réflexe de mise à jour à chaque projet.

La méthode d'analyse de risques, étape par étape

L'analyse de risques RGPD suit cinq étapes : identifier les événements redoutés pour les personnes, en repérer les sources et les menaces, coter la gravité, coter la vraisemblance, puis positionner chaque risque sur une matrice pour le prioriser. La CNIL structure cette démarche dans sa méthode PIA et son guide de la sécurité des données personnelles.

Étape 1 : identifier les événements redoutés

La CNIL retient trois événements redoutés, à examiner pour chaque traitement. L'accès illégitime aux données, c'est-à-dire une consultation par une personne non autorisée. La modification non désirée des données, une altération volontaire ou accidentelle. La disparition des données, une perte ou une indisponibilité. Pour chacun, demandez-vous quel impact concret pèserait sur les personnes concernées.

Étape 2 : repérer les sources et les menaces

Une source de risque peut être humaine (un salarié négligent, un attaquant externe, un prestataire) ou non humaine (une panne matérielle, un sinistre, un bug). La menace est le chemin par lequel l'événement redouté survient : un vol d'identifiant, une mauvaise configuration, un envoi à un mauvais destinataire. Ce recensement reste concret et opérationnel, sans jargon inutile.

Étape 3 : coter la gravité

La gravité mesure l'ampleur du préjudice pour les personnes si l'événement se réalise. La CNIL propose une échelle à quatre niveaux : négligeable, limitée, importante, maximale. Un désagrément passager relève du négligeable. Une usurpation d'identité durable ou l'exposition de données de santé relève du maximal. Vous cotez du point de vue des personnes, jamais du point de vue de l'entreprise.

Étape 4 : coter la vraisemblance

La vraisemblance mesure la probabilité que la menace se concrétise, compte tenu des mesures déjà en place. La même échelle à quatre niveaux s'applique : négligeable, limitée, importante, maximale. Un traitement sans chiffrement, sans contrôle d'accès, exposé sur internet, présente une vraisemblance élevée. Les mesures de sécurité existantes font baisser cette note.

Étape 5 : positionner et prioriser

Croisez gravité et vraisemblance sur une matrice. Un risque à gravité maximale et vraisemblance importante passe en tête de vos priorités. Un risque négligeable sur les deux axes reste sous surveillance sans action urgente. Cette matrice devient votre feuille de route, et le point de départ du plan d'action.

Vous voulez sécuriser vos traitements prioritaires sans multiplier les outils ? Découvrez ConsentLab →

Cartographie, analyse de risques et AIPD : le comparatif

Ces trois exercices s'enchaînent mais ne se confondent pas. La cartographie répond à "quoi", l'analyse de risques à "combien", l'AIPD à "est-ce acceptable pour les traitements les plus sensibles". Le tableau suivant précise ce qui distingue chacun.

La lecture est simple : on ne saute pas d'étape. Une AIPD lancée sans cartographie ni analyse de risques préalables passe à côté de traitements entiers, et perd sa valeur de preuve en cas de contrôle.

Les erreurs courantes à éviter

Les erreurs les plus fréquentes tiennent à la confusion entre les trois exercices, à une cotation du point de vue de l'entreprise plutôt que des personnes, et à une cartographie que l'on ne met jamais à jour.

• Confondre cartographie et analyse de risques : lister ses traitements ne dit rien de leur dangerosité. Recenser n'est pas coter. Les deux étapes sont complémentaires, pas interchangeables.
• Lancer une AIPD sur tous les traitements : l'AIPD est réservée au risque élevé. La déclencher partout épuise les équipes et dilue l'attention sur les traitements qui la méritent vraiment.
• Coter la gravité côté entreprise : le RGPD raisonne du point de vue des personnes concernées, pas du chiffre d'affaires. Une fuite anodine pour l'entreprise peut être grave pour un individu.
• Oublier les traitements informels : le tableur partagé, le formulaire fait maison, l'outil adopté sans validation. Ces traitements "sous le radar" concentrent souvent les risques les plus élevés.
• Figer la cartographie : un inventaire jamais mis à jour devient faux en quelques mois. Sans revue régulière, votre analyse de risques repose sur une photographie périmée.
• Négliger le plan d'action : coter un risque sans décider quoi en faire ne protège personne. La matrice doit déboucher sur des mesures datées et affectées à un responsable.

Du risque au plan d'action

L'analyse de risques ne vaut que par ce qu'elle déclenche. Chaque risque important ou maximal doit se traduire par une mesure concrète, un responsable désigné et une échéance. C'est la logique de responsabilité (accountability) posée par l'article 5.2 du RGPD.

Traiter, réduire, accepter

Pour chaque risque prioritaire, trois options existent. Le réduire par des mesures techniques ou organisationnelles (chiffrement, cloisonnement, minimisation, contrôle d'accès). L'éviter en supprimant le traitement ou la donnée superflue. L'accepter en le documentant, uniquement s'il est résiduel et justifié. Aucune option ne se choisit sans trace écrite.

Un plan daté et affecté

Un plan d'action exploitable liste, pour chaque risque prioritaire, la mesure retenue, la personne responsable, l'échéance et l'état d'avancement. Ce format transforme une analyse théorique en pilotage réel de la conformité. Il constitue aussi une preuve directe pour la CNIL en cas de contrôle.

Boucler avec l'AIPD quand le risque reste élevé

Si, après réduction, un traitement demeure à risque élevé, l'AIPD prend le relais pour documenter la proportionnalité et, le cas échéant, consulter la CNIL. L'analyse de risques et l'AIPD forment ainsi un continuum, du recensement large jusqu'à l'étude approfondie des cas les plus sensibles.

Questions fréquentes

Quelle différence entre cartographie et analyse de risques ? La cartographie recense vos traitements sans les évaluer : elle établit la liste de ce que vous faites des données personnelles. L'analyse de risques vient ensuite coter chaque traitement selon sa gravité et sa vraisemblance pour les personnes concernées. La première produit un inventaire, la seconde une hiérarchie de priorités.

L'analyse de risques est-elle obligatoire pour tous les traitements ? Non. L'analyse de risques est une bonne pratique de sécurité attendue au titre de l'article 32 du RGPD, mais elle n'atteint le niveau formel de l'AIPD que pour les traitements à risque élevé au sens de l'article 35. Pour les traitements courants à faible risque, une évaluation proportionnée suffit.

Comment coter la gravité et la vraisemblance d'un risque ? La CNIL propose une échelle à quatre niveaux : négligeable, limitée, importante, maximale. La gravité mesure l'ampleur du préjudice pour les personnes si l'incident survient. La vraisemblance mesure la probabilité qu'il se produise, compte tenu des mesures déjà en place. Le croisement des deux sur une matrice révèle les priorités.

Quels sont les trois événements redoutés du RGPD ? La méthode CNIL retient l'accès illégitime aux données, la modification non désirée des données et la disparition des données. Pour chaque traitement, vous examinez l'impact de ces trois événements sur les personnes concernées, puis vous cotez le risque correspondant.

L'analyse de risques suffit-elle, ou faut-il une AIPD ? L'analyse de risques est le coeur de l'AIPD, mais l'AIPD va plus loin : elle documente aussi la nécessité, la proportionnalité du traitement et les mesures de traitement du risque. Dès qu'un traitement présente un risque élevé, l'analyse de risques seule ne suffit pas, l'AIPD complète devient obligatoire. Notre guide détaille comment mener une AIPD.

Quels outils la CNIL met-elle à disposition ? La CNIL publie une méthode PIA (privacy impact assessment) en trois volets : la méthode, des modèles et une base de connaissances. Elle propose aussi un logiciel PIA téléchargeable et un guide de la sécurité des données personnelles. Ces ressources encadrent la cotation des risques et le choix des mesures.