Droit d’accès indirect

Droit d’accès indirect : Procédure permettant de saisir la CNIL pour faire vérifier les données figurant dans certains fichiers intéressant la sûreté de l’État ou la sécurité publique.

Entrée de la famille « Juridique et RGPD » du glossaire. Elle s’adresse à un porteur de projet qui doit rédiger, comparer ou recetter, pas à un spécialiste du sujet.

À quoi sert Droit d’accès indirect

Sur un projet mobile, Droit d’accès indirect se prépare avant la mise en ligne. Les boutiques réclament des déclarations, et une régularisation après coup coûte plus cher qu’une conformité pensée au cadrage.

Sur un projet réel, la question ne se pose jamais en théorie : elle arrive dans un devis, dans une réunion de cadrage ou dans un rapport de recette.

La traduction en exigences

Le cahier des charges doit désigner qui répond de « Droit d’accès indirect ». L’éditeur de l’application en porte la responsabilité, le prestataire doit livrer ce qui la rend possible.

À écrire noir sur blanc, dans le chapitre qui correspond :

• Les sous-traitants utilisés, nommés, avec le pays où sont hébergées les données.
• Les documents publiés : mentions légales, politique de confidentialité, conditions d’utilisation.
• Le niveau d’accessibilité visé, et le texte qui l’impose à votre activité.
• Le sort des données et du code à la fin du contrat.

Rien n’oblige à tout figer dès le premier jour. Ce qui reste ouvert doit alors être signalé comme tel, avec la date à laquelle la décision sera prise.

Le modèle de cahier des charges du guide reprend ces rubriques dans l’ordre attendu par une agence, et la grille de lecture des devis montre à quoi ressemble un chiffrage comparable.

Comment le vérifier à la recette

Droit d’accès indirect se recette comme une fonctionnalité : quelqu’un déroule le parcours et note ce qui manque.

• Contrôler que le registre des traitements existe et qu’il est à jour.
• Demander le contrat de sous-traitance prévu par l’article 28, et le lire.
• Vérifier la présence et l’exactitude des mentions légales publiées.

Chacun de ces contrôles prend quelques minutes. Les découvrir après la mise en ligne prend des jours.

Les pièges à éviter

Aucune de ces erreurs ne se voit le jour où elle est commise. Toutes se paient plus tard, au moment le moins commode.

• Ne pas tenir le registre des traitements, obligatoire dans la plupart des situations.
• Collecter des données par défaut, au motif qu’elles pourraient servir un jour.
• Confondre la responsabilité de l’éditeur de l’application et celle de son prestataire.
• Publier une application grand public sans avoir regardé les obligations d’accessibilité.
• Employer le mot sans le définir, et laisser chaque partie prenante y mettre son propre sens.

Termes liés

Les entrées du glossaire déjà publiées sur des sujets voisins :

• Consentement
• DPA
• Suivi entre applications
• Registre des violations
• Vérification de l’âge

Questions fréquentes

Que signifie « Droit d’accès indirect » ?

Procédure permettant de saisir la CNIL pour faire vérifier les données figurant dans certains fichiers intéressant la sûreté de l’État ou la sécurité publique. Cette définition suffit pour une discussion de cadrage. Pour un contrat, il faut y ajouter ce que le terme recouvre exactement sur votre application.

Qui est responsable, l’éditeur ou l’agence ?

L’entreprise qui publie l’application répond du traitement des données devant l’autorité de contrôle. Le prestataire agit pour son compte et doit être encadré par un contrat de sous-traitance.

Est-ce que ça se retrouve dans le devis ?

Un devis lisible sépare conception, design, développement, tests, publication et suivi. La grille de lecture des devis détaille poste par poste ce qui doit y apparaître.

Toutes les définitions publiées sont rassemblées dans l’index du glossaire, classées de A à Z et par famille.