Instructions documentées

Instructions documentées : Consignes écrites du responsable délimitant ce que le sous-traitant peut faire des données, tout traitement hors de ce cadre engageant la responsabilité propre du prestataire.

Entrée de la famille « Juridique et RGPD » du glossaire. Elle s’adresse à un porteur de projet qui doit rédiger, comparer ou recetter, pas à un spécialiste du sujet.

Ce que recouvre Instructions documentées, concrètement

Sur un projet mobile, Instructions documentées se prépare avant la mise en ligne. Les boutiques réclament des déclarations, et une régularisation après coup coûte plus cher qu’une conformité pensée au cadrage.

Ce que le mot recouvre exactement dépend du projet. Ce qui suit vaut pour la plupart des applications mobiles françaises, et sert de point de départ à la discussion.

La traduction en exigences

Dans un cahier des charges, Instructions documentées figure au chapitre conformité, avec les traitements de données prévus, leur finalité et leur durée de conservation.

À écrire noir sur blanc, dans le chapitre qui correspond :

• Les sous-traitants utilisés, nommés, avec le pays où sont hébergées les données.
• Les documents publiés : mentions légales, politique de confidentialité, conditions d’utilisation.
• Le niveau d’accessibilité visé, et le texte qui l’impose à votre activité.
• Le sort des données et du code à la fin du contrat.

Rien n’oblige à tout figer dès le premier jour. Ce qui reste ouvert doit alors être signalé comme tel, avec la date à laquelle la décision sera prise.

Pour le cadre général, le guide des prix donne les fourchettes constatées en France et le modèle de cahier des charges la structure qui les rend opposables.

Comment le vérifier à la recette

Instructions documentées se vérifie sur les documents publiés et sur le comportement réel de l’application. Les deux doivent dire la même chose.

• Dérouler le parcours d’exercice des droits, de la demande à la réponse.
• Demander le contrat de sous-traitance prévu par l’article 28, et le lire.
• Vérifier la présence et l’exactitude des mentions légales publiées.

Ces vérifications s’inscrivent au cahier de recette, avec un nom en face de chacune. Une case sans responsable reste vide.

Les pièges à éviter

Ces erreurs ne viennent presque jamais d’un manque de compétence, mais d’un point qui n’a été écrit nulle part.

• Ne pas tenir le registre des traitements, obligatoire dans la plupart des situations.
• Collecter des données par défaut, au motif qu’elles pourraient servir un jour.
• Confondre la responsabilité de l’éditeur de l’application et celle de son prestataire.
• Publier une application grand public sans avoir regardé les obligations d’accessibilité.
• Se contenter d’une réponse orale en réunion, jamais reprise dans le document contractuel.

Termes liés

Les entrées du glossaire déjà publiées sur des sujets voisins :

• Consentement
• DPA
• Suivi entre applications
• Registre des violations

Questions fréquentes

Que signifie « Instructions documentées » ?

Consignes écrites du responsable délimitant ce que le sous-traitant peut faire des données, tout traitement hors de ce cadre engageant la responsabilité propre du prestataire. Cette définition suffit pour une discussion de cadrage. Pour un contrat, il faut y ajouter ce que le terme recouvre exactement sur votre application.

Faut-il un avocat pour traiter ce point ?

Pas toujours pour le comprendre, souvent pour le rédiger. Le cahier des charges peut décrire l’exigence en français courant ; la formulation contractuelle et les documents publiés gagnent à être relus par un professionnel.

Comment savoir si le budget annoncé est cohérent ?

En comparant le périmètre écrit aux fourchettes constatées en France, détaillées poste par poste sur le guide des prix. Un chiffre isolé ne veut rien dire sans le périmètre qui va avec.

Toutes les définitions publiées sont rassemblées dans l’index du glossaire, classées de A à Z et par famille.