Cartographie des données RGPD : méthode en 6 étapes

Mis à jour le 27 octobre 2026.

Remplir un registre sans avoir recensé les traitements revient à documenter ce que l'organisation connaît déjà : les applications métier déclarées, rarement les fichiers tenus à côté. Le recensement se conduit auprès des personnes qui manipulent les données tous les jours, service par service. Cette page décrit l'ordre de passage, le livrable attendu à chaque étape, les endroits où l'inventaire laisse des trous, et ce que donne le recensement dans trois services types : clients, ressources humaines, finance. Le contenu du registre, lui, appartient à sa page propriétaire : ce que le registre des traitements doit contenir, champ par champ. La cartographie prépare ce document, elle ne s'y substitue pas.

Cartographie des données personnelles : ce qu'elle recense, et ce qui la distingue de l'inventaire et du registre

La cartographie recense les traitements, les sources, les supports et les flux service par service ; l'inventaire relève les données sans les relier ; le registre de l'article 30 du RGPD les documente champ par champ.

Une autre cartographie existe, qu'il ne faut pas confondre avec celle-ci : celle du système d'information, portée par le guide d'hygiène informatique de l'ANSSI. Elle décrit des machines, des applications et des réseaux ; la cartographie RGPD décrit des traitements et des flux de données personnelles. Les deux se nourrissent l'une l'autre.

Pourquoi cartographier les traitements de données avant de remplir le registre de l'article 30 ?

Le RGPD n'impose pas la cartographie : il impose à l'article 5.2 d'être en mesure de démontrer la conformité, et la CNIL place le recensement précis des traitements en première étape de sa méthode de mise en conformité.

• Le registre ne voit que le déclaré : sans passage service par service, il recense les applications connues de la direction et ignore les fichiers constitués en marge.
• La dispense se vérifie traitement par traitement : une paie n'est jamais occasionnelle, de sorte que la dispense des moins de 250 employés couvre rarement l'activité courante — le débat sur l'allègement du registre en PME part de ce constat.
• Les flux sortants se qualifient : seul un relevé des destinations fait apparaître les transferts à qualifier au titre du chapitre V du règlement (UE) 2016/679, articles 44 à 49.
• Les durées sans règle remontent : le recensement révèle les données gardées sans échéance ni point de départ.

Comment cartographier ses données service par service : la méthode en 6 étapes

La cartographie se conduit service par service : nos ateliers d'inventaire durent une à deux heures avec chaque responsable de service et portent sur la finalité, la base légale, les durées, les sous-traitants et les destinataires de chaque traitement ; l'ordre de passage est services, applications et supports, flux sortants, sous-traitants.

Les étapes reprennent la démarche de la CNIL sur la cartographie des traitements, dans l'ordre où nous les conduisons en mission :

1. Cadrer le périmètre et lister services et interlocuteurs
2. Inventorier applications, bases et supports
3. Classer les données et repérer les données sensibles
4. Tracer les flux internes et sortants
5. Documenter chaque traitement
6. Organiser la mise à jour

Un seuil évite un travail inutile : en dessous de cinq traitements, ou avec un seul service, une cartographie visuelle n'apporte rien de plus que le registre.

Étape 1 : cadrer le périmètre et dresser la liste des services et des interlocuteurs

Livrable : la liste des services du périmètre, avec pour chacun un responsable désigné et un utilisateur quotidien, et le calendrier des ateliers. Le périmètre se décide avant tout entretien : une entité juridique, plusieurs sites, un groupe entier. Chaque atelier dure une à deux heures et se tient à distance dans la plupart des cas, regroupé sur une même journée quand l'organisation s'y prête. Ce cadrage conditionne la charge : nombre de services aux activités distinctes, nombre d'applications, volume de prestataires à interroger. Vous pouvez faire conduire l'inventaire des traitements service par service plutôt que de l'ouvrir en interne sans trame commune.

Étape 2 : inventorier les sources de données, les applications et les supports de stockage

Livrable : l'inventaire des applications et des supports, avec pour chacun le service utilisateur et le lieu d'hébergement. Y entrent les logiciels métier, le site web et ses formulaires, les bases de données, les partages réseau, les messageries, les formulaires papier et les archives physiques. L'informatique ou le prestataire d'infogérance fournit la liste des applications et des accès ; la direction financière fournit les factures d'abonnement, qui révèlent des outils en ligne qu'aucun service n'a cités. Le guide de l'ANSSI pour la cartographie du système d'information sert ici de référence technique, l'inventaire RGPD y ajoutant la finalité de chaque outil.

Étape 3 : classer les données et repérer la classification des données sensibles

Livrable : le classement des données par catégorie et par niveau de criticité, service par service. Deux filtres nous paraissent indispensables à ce stade : les traitements portant des données sensibles au sens de l'article 9 ou des données relatives à des infractions au sens de l'article 10, et les transferts sans clause RGPD. Ce second filtre distingue « aucune clause » de « clause non renseignée » : ce sont deux constats différents, et un registre muet ne vaut pas absence de clause. Le classement fait remonter les traitements candidats à une analyse d'impact au titre de l'article 35 : quand un traitement impose une analyse d'impact est traité à part. La CNIL a adopté, par la délibération n° 2019-118 du 12 septembre 2019, une liste de douze types d'opérations pour lesquelles l'analyse n'est pas requise.

Étape 4 : tracer les flux de données internes et externes et le cycle de vie de la donnée

Livrable : le schéma des flux, de la collecte à la suppression, avec les destinataires externes classés. Notre classement en retient neuf familles :

• Cloud et outils numériques : hébergeurs, éditeurs, services en ligne
• Banques, expertise comptable et avocats
• Groupe, réseau et entités liées
• Financeurs et organismes de contrôle
• Protection sociale et santé au travail
• Administrations, institutions et syndicats
• Prestataires et partenaires métier
• Plateformes, médias et agences
• Fournisseurs et services généraux

Chaque destinataire agissant pour le compte de l'organisation relève de l'article 28 du RGPD : son contrat doit définir l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées.

Étape 5 : documenter les informations essentielles, du responsable aux mesures de sécurité

Livrable : une fiche documentée par traitement — responsable, service, lieu de stockage, durée de conservation et son fondement, mesures de sécurité. Les mesures se décrivent en reprenant les fiches du guide de la sécurité des données personnelles de la CNIL : authentification, gestion des habilitations, traçabilité des opérations, chiffrement. La cartographie circulant chez le client, nous appliquons trois règles de minimisation : aucune personne physique nommée parmi les destinataires, la sensibilité décrite par nature de données et jamais par cas individuel, et, dans un groupe, seules les entités du périmètre figurant comme services. Ces fiches alimentent ensuite les pièces qui prouvent la conformité en contrôle.

Étape 6 : organiser la mise à jour de la cartographie des données dans le temps

Livrable : la procédure de régénération et la cartographie interactive des flux, fichier autonome qui s'ouvre dans un navigateur sans connexion, dérivée du registre et jointe au rapport d'audit. Elle offre trois vues : « Entre services », où l'épaisseur du lien suit le nombre de traitements ; « Vers l'extérieur », qui montre les flux de chaque service vers les catégories de destinataires ; « Fusionnée », services au centre et destinataires en anneaux. La cartographie reflète l'état du registre à une date : nous la régénérons chaque fois que le registre évolue de façon significative, durées, bases légales ou clauses complétées. Les lignes directrices 4/2019 du CEPD sur l'article 25 rappellent que seules les données nécessaires à chaque finalité sont traitées par défaut : une cartographie à jour est la condition pratique pour vérifier cette minimisation à chaque nouveau projet.

Là où le recensement déraille : tableurs partagés, boîtes mail, formulaires papier et outils installés hors DSI [SG]

Les données qui échappent au recensement ne sont pas dans les applications métier : elles sont dans les fichiers locaux, les messageries et le papier, qu'aucun outil de découverte automatisée ne relève de manière fiable.

• Tableurs partagés : extraction d'une application métier enrichie à la main, puis conservée sans durée ni habilitation.
• Boîtes mail : candidatures, pièces justificatives et envois de masse depuis une messagerie professionnelle.
• Formulaires papier : inscriptions, fiches de renseignement, registres de présence conservés en armoire.
• Outils installés hors DSI : abonnements en ligne souscrits par un service, repérables dans les factures fournisseurs.

Le point de contrôle qui ferme ces failles est double : l'entretien avec l'utilisateur quotidien, qui connaît les fichiers parallèles, et le recoupement avec les contrats et les factures. Notre inventaire se conduit service par service, en ateliers d'une à deux heures avec chaque responsable de service.

Outils et logiciels de cartographie : les critères qui départagent une solution

Nous retenons quatre critères pour comparer un outil de cartographie : la reprise du recensement d'une année sur l'autre, la traçabilité des modifications, le travail simultané de plusieurs services et l'export du registre.

La grille ci-dessous est celle que nous utilisons en mission pour comparer deux solutions : chacune de ses lignes relève de notre méthode.

Sur nos missions, le pilotage se fait dans notre logiciel IZIRO, qui réunit registre, violations, demandes de droits et veille, licences refacturées séparément. Le choix d'un logiciel de registre et d'analyses d'impact, avec ses critères et son budget, fait l'objet d'un contenu dédié. C'est en atelier avec le responsable de service que chaque traitement reçoit, dans notre méthode, sa finalité, sa base légale, ses durées, ses sous-traitants et ses destinataires.

Cartographie des données clients, RH et finance : ce que donne le recensement dans chaque service

Trois services, trois chaînes : le client, du formulaire web au prestataire d'emailing ; le RH, du candidat au dossier du salarié ; la finance, de la facture au recouvrement et à l'archivage comptable.

Données clients : du formulaire web au prestataire d'emailing

La chaîne commence au formulaire du site, passe par l'outil de gestion commerciale et finit chez le prestataire d'envoi de courriels, qui est un sous-traitant. Le recensement en atelier porte aussi sur ce que le CRM ne montre pas : les bases de prospects dormantes et les exports locaux conservés sur des postes. Chaque finalité se confronte ensuite au référentiel de la CNIL sur la gestion des activités commerciales, adopté par la délibération n° 2021-131 du 23 septembre 2021, qui précise finalités, catégories de données, destinataires et durées sans avoir de caractère contraignant.

Données RH : du recrutement au dossier du salarié

La chaîne RH va de la candidature reçue par courriel au dossier du salarié, à la paie et à la santé au travail. Le point de contrôle est l'écart entre les données réellement présentes dans l'outil de paie et celles prévues par le référentiel de durées de conservation en gestion des ressources humaines, adopté par la délibération n° 2026-031 du 29 janvier 2026. La CNIL indique par exemple que les données d'un candidat non retenu sont conservées deux ans au maximum, sauf demande d'effacement.

Données finance : facturation, recouvrement et archivage comptable

La chaîne financière relie la facturation, le recouvrement, la banque et l'expertise comptable — deux destinataires externes réguliers. Elle illustre les trois phases du cycle de vie de la donnée décrites par la CNIL : base active, archivage intermédiaire, archivage définitif. Les données de facturation se conservent dix ans en application du code de commerce, même lorsque la personne n'est plus cliente ; l'archivage intermédiaire doit alors être séparé de la base active et réservé à des personnes habilitées. Le recensement fait apparaître les bases qui ne connaissent aucune de ces séparations.

Le recensement décide de ce qui entrera au registre et de ce qui restera invisible : c'est pour cette raison qu'il se conduit avec les services, et non à leur place. La conformité reste celle de l'organisation au titre de l'article 24 du RGPD ; le délégué à la protection des données cadre le questionnement, arbitre les cas limites et contrôle la cohérence. Une cartographie vieille d'un an sans révision vaut un document périmé : chaque nouvel outil, chaque nouveau projet et chaque changement de prestataire rouvre une ligne. Faire conduire ce recensement par un intervenant extérieur permet de tenir la trame et le calendrier d'ateliers, puis de remettre un registre stabilisé et sa cartographie des flux.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus