Collecte de documents conforme au RGPD

Le principe de minimisation des données du RGPD (article 5.1.c) impose de ne demander que les données personnelles strictement nécessaires à la finalité poursuivie — pas tous les documents qu’un modèle inclut par habitude. Avant de publier une checklist, demandez-vous quelle décision chaque élément permet de prendre ; si la réponse n’est pas claire, retirez l’élément.

Un modèle de formulaire réutilisable qui demande par défaut une copie intégrale de pièce d’identité, un relevé bancaire complet ou une facture entière constitue un risque de sur-collecte lorsque seule une information de ce document est réellement utile. Quand c’est possible, demandez la preuve précise (un IBAN masqué, une seule ligne d’adresse) plutôt que le document source dans son intégralité.

Documentez une fois, au niveau du modèle, la finalité de chaque élément de checklist, afin que réviseurs et clients comprennent tous deux pourquoi la demande existe. Cette justification écrite est aussi ce que vous voudrez pouvoir présenter si une autorité de contrôle ou un client la demande.

L’endroit où vivent les données détermine les garanties de transfert nécessaires. Héberger les dossiers clients et leurs métadonnées chez un prestataire basé en Europe évite les mesures contractuelles et techniques supplémentaires exigées pour les transferts vers des pays sans décision d’adéquation.

Cela concerne toute la chaîne, pas seulement le stockage principal : l’envoi des e-mails contenant les liens magiques, les sauvegardes, et tout outil de journalisation ou d’analyse doivent eux aussi rester en Europe ou être couverts par un mécanisme de transfert valide. Vérifiez la liste complète de vos sous-traitants, pas seulement la page marketing de votre fournisseur principal.

Si des sous-traitants ou des réviseurs externes interviennent, assurez-vous qu’ils accèdent aux documents via le portail — avec journalisation et accès révocable — plutôt qu’en téléchargeant puis en retransférant les fichiers : c’est souvent là qu’une configuration pourtant hébergée en Europe perd discrètement ses garanties.

Une boîte e-mail partagée ou un lien de transfert générique n’a aucune notion de qui est autorisé à voir quoi. Un accès par rôles — administrateur de l’entreprise, réviseur individuel, client — garantit qu’un réviseur ne voit que les dossiers qui lui sont assignés, et qu’un client ne voit que sa propre demande.

L’authentification par lien magique donne à chaque client un accès unique et limité dans le temps, sans mot de passe partagé ni lien public transférable. Combiné à un contrôle d’accès au niveau des lignes côté serveur, cela garde les dossiers d’une entreprise invisibles pour une autre entreprise utilisant la même plateforme.

Réexaminez les accès régulièrement, pas seulement à la mise en place : lorsqu’un réviseur change d’équipe ou quitte l’entreprise, son accès aux anciens dossiers clients doit être révoqué immédiatement, et non laissé actif parce que personne ne se souvenait du dossier partagé.

Le principe de responsabilité du RGPD (article 5.2) impose de pouvoir démontrer la conformité, pas seulement l’affirmer. Une piste d’audit — qui a demandé un document, quand il a été déposé, qui l’a consulté ou approuvé, et quand son statut a changé — rend cette démonstration possible.

Le statut par élément (demandé, reçu, approuvé, rejeté) fait office de ce registre dès lors qu’il est horodaté et rattaché à un utilisateur précis. C’est une amélioration nette par rapport à un fil d’e-mails, où la même information est dispersée entre réponses, transferts et pièces jointes, sans source unique de vérité.

Gardez le journal d’audit lui-même contrôlé en accès et distinct des documents qu’il décrit, afin que la vérification du « qui a fait quoi » ne nécessite pas de rouvrir les données personnelles de chaque client.

Les données personnelles ne doivent pas être conservées indéfiniment par défaut. Fixez une durée de conservation liée à la finalité de la collecte (durée d’une mission, obligation légale de conservation, etc.) et appliquez-la de façon cohérente à tous les dossiers, plutôt que de laisser d’anciens fichiers clients s’accumuler.

Le droit à l’effacement du RGPD (article 17) permet à un client de demander la suppression de ses données personnelles dès lors qu’elles ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées. Un portail où les documents vivent dans un dossier identifiable unique — plutôt que dupliqués entre boîtes e-mail, dossiers de téléchargement et sauvegardes — rend cette demande réellement exécutable.

À la clôture d’un dossier, décidez explicitement d’archiver, d’anonymiser ou de supprimer les documents associés, et conservez trace de cette décision. Une règle de conservation prévisible appliquée par la plateforme est bien plus défendable qu’un nettoyage ponctuel effectué par celui qui y pense.