L'essentiel en bref
- Le data discovery consiste à identifier systématiquement où se trouvent les données à caractère personnel dans vos systèmes, comment elles y sont arrivées et qui peut y accéder. Ce n'est pas une obligation du RGPD en soi, c'est la condition préalable d'au moins cinq d'entre elles.
- La CNIL en fait l'étape 2 de sa méthode en six étapes, juste après la désignation d'un pilote. Sa grille tient en six questions : qui, quoi, pourquoi, où, jusqu'à quand et comment.
- Sans inventaire à jour, les articles 30 (registre), 15 (accès), 17 (effacement), 33 (notification sous 72 heures) et 32 (sécurité) ne sont pas tenables de façon défendable.
- L'angle mort n'est presque jamais la base de données. Ce sont les outils adoptés sans passer par la conformité : l'outil marketing en version d'essai, l'assistant d'IA sur la carte d'une équipe, le tableur sur un disque partagé.
- Depuis l'arrêt de la Cour de cassation du 18 juin 2025 (n° 23-19.022), les courriels de la messagerie professionnelle sont les données personnelles du salarié. Les boîtes aux lettres deviennent donc une cible d'inventaire à part entière, et la plus coûteuse.
Qu'est-ce que le data discovery, et pourquoi le RGPD l'impose-t-il ?
Le data discovery est le processus qui consiste à localiser les données à caractère personnel dans l'ensemble des systèmes d'une entreprise, à les classifier et à retracer leur circulation. Le résultat n'est pas une liste d'outils, c'est une réponse à trois questions : quelles données personnelles traitons-nous, où se trouvent-elles et qui y a accès.
Le terme anglais s'est imposé, y compris en France, et c'est celui que les praticiens utilisent. On rencontre aussi « cartographie des données » ou « cartographie des traitements », qui désignent la même démarche.
Le RGPD n'emploie aucun de ces termes. Il en présuppose le résultat. L'article 5.2 vous impose la responsabilité, c'est-à-dire de démontrer que vous respectez les principes, et vous ne pouvez rien démontrer d'un traitement que vous ignorez. Le guide complet du RGPD replace cette obligation de démonstration parmi les autres exigences du règlement.
En pratique, c'est donc un problème d'inventaire avant d'être un problème juridique. Comme tout inventaire, il reflète le jour où il a été fait.
Ce que la CNIL attend d'une cartographie
La CNIL ne traite pas ce sujet comme un préalable technique. Dans sa méthode de mise en conformité, « cartographier vos traitements de données personnelles » est l'étape 2, immédiatement après la désignation d'un pilote et avant la priorisation des actions. Elle en donne une grille de six questions, qui est utile parce qu'elle décrit exactement le contenu que le registre de l'article 30 doit porter.
Deux colonnes de cette grille se remplissent mal sans démarche technique préalable. « Où » suppose de connaître tous les hébergements, y compris ceux d'outils souscrits par une équipe. « Qui », dans sa partie sous-traitants, suppose de connaître tous les prestataires qui traitent des données pour votre compte, ce qui est précisément la liste que personne ne détient en entier.
Les obligations qui échouent sans inventaire
Cinq obligations achoppent directement sur un inventaire incomplet. Non parce que la loi exige un inventaire, mais parce que l'information demandée n'existe pas sans lui.
Le lien entre l'article 30 et l'article 15 est le plus sous-estimé. Depuis l'arrêt de la Cour de justice du 12 janvier 2023 (C-154/21), une demande d'accès donne droit à l'identité réelle des destinataires, et non à leurs seules catégories. Cette liste sort du registre, et le registre sort de l'inventaire. Le traitement complet d'une demande, du calcul du délai à l'occultation des données de tiers, est détaillé dans notre article sur le droit d'accès au titre de l'article 15.
Où se trouvent réellement les données personnelles
L'inventaire échoue rarement sur les systèmes auxquels on pense. Le CRM, le SIRH et la comptabilité figurent dans tous les registres. Ce qui échappe, ce sont les emplacements constitués en marge.
La ligne « messageries » a pris un poids particulier en France. Par un arrêt du 18 juin 2025 publié au bulletin (n° 23-19.022), la chambre sociale de la Cour de cassation a jugé que les courriels émis ou reçus depuis la messagerie professionnelle sont des données à caractère personnel du salarié, l'employeur devant en fournir les métadonnées comme le contenu. Une boîte aux lettres n'est donc plus un contenant à traiter en dernier : c'est un traitement à part entière, qui doit figurer au registre.
La catégorie qui croît le plus vite reste la dernière. Un service de transcription présent dans les réunions clients traite des données personnelles des deux côtés de la conversation et exige un contrat au titre de l'article 28. Il est en général souscrit par la personne chargée du compte rendu, pas par la conformité. La manière de faire remonter les systèmes que personne n'a validés est décrite sur la page shadow IT et découverte de données.
Un ordre de grandeur, calculé à titre d'illustration pour un éditeur de logiciels B2B de 60 personnes : la liste validée par la DSI compte 14 systèmes, le premier inventaire complet en trouve 23. Les neuf supplémentaires ne traduisent pas un manquement aux règles, ils sont le résidu ordinaire de trois ans de croissance pendant lesquels des équipes ont adopté des outils qui semblaient chacun anodin. Sur ces neuf, six appellent un contrat de sous-traitance et trois traitent des données hors de l'Union européenne.
Le processus en cinq étapes
L'étape 3 est celle où l'outillage purement technique s'arrête. Un moteur d'analyse trouve un champ contenant un numéro de téléphone. Savoir si ce champ relève du traitement « exécution des commandes » fondé sur l'article 6.1 b) ou de la prospection fondée sur l'intérêt légitime au 6.1 f) après mise en balance documentée, il ne peut pas en décider. Cette affectation est une appréciation, et elle le reste.
Les trois erreurs qui rendent un inventaire inutile
Première erreur : n'y procéder qu'une fois. Quand l'autorité de contrôle réclame le registre ou qu'une violation doit être notifiée, ce qui compte est l'état du jour, pas celui du dernier recensement. Entre un inventaire et un registre tenu, la différence n'est pas la rigueur, c'est la fréquence.
Deuxième erreur : ne regarder que les données structurées. Les bases de données s'analysent, les messageries et les disques partagés ne s'analysent pas au même niveau de fiabilité. C'est pourtant là que se concentre l'effort lors d'une demande d'accès, puisque c'est là que les données de tiers doivent être occultées à la main.
Troisième erreur : confondre l'inventaire et l'appréciation. Un outil trouve des systèmes. Il ne décide pas quels traitements en découlent, quelle base légale les porte, quelle durée de conservation s'applique, ni si une analyse d'impact au titre de l'article 35 est nécessaire. Un rapport d'outil exporté est une liste de systèmes, pas un registre.
Un quatrième point mérite d'être dit, même s'il n'est pas une erreur. L'inventaire fait régulièrement apparaître des traitements dépourvus de base légale. C'est désagréable et c'est tout l'objet de l'exercice : un traitement que vous ignorez, vous ne pouvez ni le justifier ni l'arrêter.
Comment Kertos met en œuvre le data discovery
Kertos associe la détection technique à l'appréciation juridique, parce que c'est précisément leur séparation qui fait caler les inventaires. La détection fait remonter les systèmes réellement utilisés, y compris ceux que personne n'a validés, et leur rattache les catégories de données traitées ; la page shadow IT et découverte de données en détaille le fonctionnement.
Le registre des activités de traitement, les mesures techniques et organisationnelles et les contrats de sous-traitance se construisent ensuite sur ce même jeu de données, au lieu d'être tenus dans trois fichiers distincts, les changements étant déduits des systèmes raccordés pour que l'état ne vieillisse pas entre deux campagnes annuelles. La page consacrée au registre, à l'AIPD et aux mesures de sécurité montre comment les trois se rejoignent, et le système de gestion de la protection des données est ce qui les maintient sur une base unique.
L'affectation juridique est prise en charge par des experts certifiés, le cas échéant comme délégué à la protection des données externe lorsque le rôle ne peut pas être tenu en interne.
Pour savoir combien de systèmes un inventaire ferait apparaître dans votre environnement, réservez un échange.
Questions fréquentes
Qu'est-ce que le data discovery en protection des données ?
C'est l'identification systématique des systèmes qui traitent des données à caractère personnel dans une entreprise, des catégories concernées et des personnes qui y ont accès. Il constitue la base du registre des activités de traitement exigé par l'article 30 du RGPD, et donc de la démonstration de conformité prévue à l'article 5.2.
Le data discovery est-il obligatoire au titre du RGPD ?
Le RGPD ne le nomme pas comme une obligation. Il exige en revanche des résultats qui n'existent pas sans lui : un registre complet au titre de l'article 30, une copie des données assortie de la liste des destinataires réels au titre de l'article 15, un effacement effectif au titre de l'article 17 et l'indication des catégories de données concernées dans les 72 heures au titre de l'article 33. La CNIL en fait par ailleurs l'étape 2 de sa méthode de mise en conformité.
À quelle fréquence faut-il refaire l'inventaire ?
En continu plutôt que périodiquement. Une campagne annuelle laisse un état vieux de six mois en moyenne au moment où il sert. Il est plus efficace de déduire les changements des systèmes raccordés et de déclencher en plus un inventaire à chaque nouvel outil, chaque nouveau prestataire et chaque réorganisation significative.
Quelle différence entre data discovery et shadow IT ?
Le shadow IT désigne les systèmes utilisés sans validation de la DSI ou de la conformité. Le data discovery est la démarche plus large de localisation des données personnelles, que le système ait été validé ou non. Le shadow IT est donc l'un des résultats du data discovery, et généralement le plus inconfortable.
Un outil automatisé suffit-il pour la documentation RGPD ?
Non. Un outil trouve des systèmes et des champs de données. Les rattacher à un traitement, choisir la base légale au titre de l'article 6.1, fixer la durée de conservation et déterminer si une analyse d'impact au titre de l'article 35 s'impose relèvent de l'appréciation. L'automatisation raccourcit l'inventaire, elle ne remplace pas l'analyse.
