RGPD : comment tracer la diffusion de vos politiques de protection des données

Le RGPD repose sur un principe clé : l'accountability (responsabilité). Vous devez pouvoir démontrer votre conformité — pas seulement l'affirmer. Et cela inclut la sensibilisation de vos équipes.

L'obligation de sensibilisation RGPD

L'article 39 du RGPD définit les missions du DPO, dont :

Sensibiliser et former le personnel participant aux opérations de traitement.

Et l'article 5.2 impose de pouvoir démontrer cette conformité :

Le responsable du traitement est responsable du respect [des principes] et est en mesure de démontrer que celui-ci est respecté.

Autrement dit : si vous ne pouvez pas prouver que vos équipes ont été sensibilisées, vous n'êtes pas conforme.

Ce que la CNIL attend

En cas de contrôle, la CNIL peut demander :

• La liste des personnes sensibilisées
• Les dates de sensibilisation
• Le contenu diffusé (version du document)
• Les preuves de prise de connaissance

Un simple email envoyé ne constitue pas une preuve suffisante. La CNIL attend une traçabilité robuste.

Les documents concernés

La sensibilisation RGPD couvre plusieurs types de documents :

• Politique de confidentialité interne : comment l'entreprise traite les données de ses employés
• Charte des données personnelles : règles pour les équipes manipulant des données clients
• Procédures de gestion des droits : comment répondre aux demandes d'accès, rectification, effacement
• Politique de sécurité des données : mesures techniques et organisationnelles
• Règles de sous-traitance : obligations lors du recours à des prestataires

Pourquoi l'email ne suffit pas

Envoyer un PDF par email pose plusieurs problèmes :

1. Pas de preuve de lecture : l'accusé de réception prouve l'envoi, pas la lecture
2. Pas de versioning : quelle version a été diffusée ?
3. Pas de consolidation : impossible de voir qui a lu quoi
4. Pas d'export : comment présenter ces preuves à la CNIL ?

La solution : l'acknowledgement traçable

L'acknowledgement (confirmation de lecture) apporte :

• Identification : qui a confirmé (authentification OAuth2)
• Horodatage : quand la confirmation a eu lieu
• Intégrité : hash du document pour garantir la version
• Non-répudiation : signature cryptographique Ed25519
• Export : rapport prêt pour la CNIL

Comment Ackify répond aux exigences RGPD

Privacy by design

Ackify ne stocke pas les documents eux-mêmes — uniquement les métadonnées de confirmation. Pas de collecte excessive.

Auto-hébergement

Vos preuves restent sur vos serveurs. Aucun transfert vers des tiers américains. Souveraineté numérique garantie.

Minimisation des données

Seules les informations nécessaires sont conservées : identifiant utilisateur, email, horodatage, signature.

Durée de conservation maîtrisée

Vous définissez la politique de rétention selon vos besoins légaux.

Exemple : nouvelle politique de confidentialité

Votre DPO met à jour la politique de confidentialité interne. Voici le workflow :

1. Publication du document sur votre wiki ou SharePoint
2. Création d'une campagne Ackify avec le lien
3. Envoi aux équipes concernées
4. Suivi des confirmations en temps réel
5. Relance des personnes n'ayant pas confirmé
6. Export du rapport pour le registre de conformité

Lors d'un contrôle CNIL, vous présentez ce rapport : preuve immédiate de sensibilisation.

Conclusion

Le RGPD exige de pouvoir prouver la sensibilisation de vos équipes. L'email ne suffit pas. L'acknowledgement horodaté et signé est la réponse adaptée.

Ackify est l'outil open source conçu pour ce besoin : simple, auto-hébergé, et respectueux du RGPD by design.

➡️ Essayez Ackify — la preuve de sensibilisation RGPD.