Registre des violations

Registre des violations : Document interne recensant chaque violation, ses effets et les mesures prises, tenu même lorsque l’incident n’a pas eu à être notifié à l’autorité de contrôle.

Cette entrée du glossaire relève de la famille « Juridique et RGPD ». Elle donne la définition, sa traduction en exigences, et les erreurs vues le plus souvent sur des projets réels.

Pourquoi Registre des violations compte sur un projet mobile

Registre des violations relève du cadre légal applicable à l’application. Il ne se négocie pas avec le prestataire, et il se contrôle après coup, souvent au pire moment.

Le sujet mérite trois minutes d’attention au cadrage. C’est le seul moment du projet où il ne coûte rien à traiter.

Ce que ça devient dans un cahier des charges

Écrire « Registre des violations » dans un cahier des charges implique une conséquence concrète : un écran, un réglage, un document ou une procédure. Sans cela, la mention reste un vœu.

À écrire noir sur blanc, dans le chapitre qui correspond :

• Les données personnelles collectées, leur finalité et leur durée de conservation.
• La base légale de chaque traitement, consentement compris quand il s’impose.
• Le parcours de suppression de compte, exigé par les boutiques.
• La conduite à tenir en cas de violation de données, et qui la déclare.

Reste à désigner qui écrit cette ligne et qui la valide. Sans nom en face, la rubrique se remplit la veille de la signature, avec les mots du prestataire.

Le modèle de cahier des charges du guide reprend ces rubriques dans l’ordre attendu par une agence, et la grille de lecture des devis montre à quoi ressemble un chiffrage comparable.

Vérifier plutôt que croire

Registre des violations se recette comme une fonctionnalité : quelqu’un déroule le parcours et note ce qui manque.

• Contrôler que le registre des traitements existe et qu’il est à jour.
• Dérouler le parcours d’exercice des droits, de la demande à la réponse.
• Vérifier la présence et l’exactitude des mentions légales publiées.

Ce qui n’est pas vérifié à la recette ne sera pas vérifié du tout : le jour de la mise en ligne, plus personne n’a le temps.

Les pièges à éviter

Ces erreurs ne viennent presque jamais d’un manque de compétence, mais d’un point qui n’a été écrit nulle part.

• Copier la politique de confidentialité d’un autre service sans vérifier les traitements réels.
• Recueillir un consentement noyé dans les conditions d’utilisation, donc inopérant.
• Ignorer où sont hébergées les données chez les prestataires utilisés par l’application.
• Laisser la cession des droits sur le code hors du contrat de développement.
• Ne relier le sujet à aucun critère de recette : ce qui ne se vérifie pas ne se livre pas.

Termes liés

Les entrées du glossaire déjà publiées sur des sujets voisins :

• Consentement
• DPA
• Suivi entre applications
• Vérification de l’âge
• Privacy by default

Questions fréquentes

Que signifie « Registre des violations » ?

Document interne recensant chaque violation, ses effets et les mesures prises, tenu même lorsque l’incident n’a pas eu à être notifié à l’autorité de contrôle. La définition tient en une phrase, son application dépend du projet. C’est pour cette raison qu’elle doit figurer dans le cahier des charges plutôt que dans un échange de courriels.

Faut-il un avocat pour traiter ce point ?

Pas toujours pour le comprendre, souvent pour le rédiger. Le cahier des charges peut décrire l’exigence en français courant ; la formulation contractuelle et les documents publiés gagnent à être relus par un professionnel.

Où placer ce point dans le cahier des charges ?

Dans le chapitre qui correspond à sa nature, jamais dans une ligne fourre-tout. Le modèle de cahier des charges propose les rubriques attendues et l’ordre dans lequel les remplir.

Toutes les définitions publiées sont rassemblées dans l’index du glossaire, classées de A à Z et par famille.