Cartographier les traitements avant de décrire le logiciel

Une finalité n’est pas le nom d’un outil

Un logiciel peut servir plusieurs finalités ; une finalité peut mobiliser plusieurs outils. Le portail de réservation peut collecter des informations, transmettre une demande, calculer une facture et produire des statistiques. Si la cartographie contient seulement une ligne portail familles, elle masque les différences entre ces opérations. Une description utile nomme l’objectif poursuivi et indique pourquoi les données sont nécessaires pour l’atteindre.

L’article 5 du RGPD impose notamment des finalités déterminées, explicites et légitimes, une minimisation des données et une limitation de leur conservation. Ces principes obligent à examiner chaque champ au regard de l’opération. Une donnée utile à la facturation n’est pas automatiquement utile aux animateurs ; une information nécessaire pour une activité ne justifie pas une réutilisation indéfinie dans des statistiques nominatives. ^[1]

La cartographie doit distinguer les catégories de personnes. Dans le cas municipal, les enfants, leurs représentants légaux et les agents ont des rôles différents. Leurs données ne répondent pas aux mêmes nécessités. Une adresse électronique d’agent peut figurer dans un journal de validation ; une information sur un enfant peut servir à gérer une activité. Les réunir dans une catégorie générale utilisateurs empêche de raisonner correctement sur les accès et les risques.

Une opération comporte aussi des décisions. Qui accepte une réservation ? Qui peut corriger une information ? Qui constate un impayé ? Qui autorise une extraction ? Ces questions révèlent les points où une donnée influence l’action du service. La cartographie n’est donc pas un schéma uniquement technique. Elle relie le traitement des informations aux compétences et aux règles de fonctionnement de l’organisme.

Relier les flux à une justification précise

La fiche de traitement indique les sources des données, les destinataires, les accès et les éventuelles transmissions à d’autres organismes. Elle distingue une consultation interne d’un envoi externe et un export ponctuel d’une synchronisation régulière. Le même champ peut être visible dans une interface sans être transmis au fournisseur de maintenance ; inversement, une opération de support peut ouvrir un accès non visible dans le parcours ordinaire.

L’article 6 du RGPD organise les bases de licéité. Pour un traitement fondé sur une obligation légale ou une mission d’intérêt public, le paragraphe 3 impose l’ancrage dans le droit applicable. Une commune ne peut donc pas écrire mission de service public pour justifier indistinctement toutes les opérations du portail. La cartographie prépare la recherche de la compétence et du texte correspondant à chaque finalité, sans préjuger de leur contenu pour un projet réel. ^[1]

La base de licéité ne règle pas seule toutes les questions. Des catégories particulières de données, notamment des informations de santé, imposent également l’examen de l’article 9. Un champ libre permettant de raconter une situation familiale peut recueillir des données que le service n’avait pas prévu de traiter. Le projet doit donc examiner les informations effectivement saisies, et pas seulement les champs officiellement intitulés santé ou données sensibles.

L’article 30 prévoit un registre comportant notamment les finalités, les catégories de personnes et de données, les destinataires et, lorsque c’est possible, les délais d’effacement et une description générale des mesures de sécurité. La cartographie est plus détaillée que ce registre lorsqu’elle représente les flux et les décisions ; elle l’alimente. Un organigramme technique ne remplace pas les mentions juridiques du registre, et le registre ne décrit pas nécessairement toutes les interfaces. ^[3]

Trois finalités dans un portail municipal

Le cas est fictif. Une commune ouvre un portail pour réserver des activités périscolaires. Le formulaire initial demande l’identité de l’enfant, les coordonnées du représentant, les créneaux souhaités, des pièces utiles au tarif et un commentaire libre. L’équipe veut utiliser ensuite l’ensemble de ces données pour analyser la fréquentation. La cartographie commence par séparer trois finalités : gérer les réservations, établir la facturation et mesurer l’utilisation des activités.

Pour la réservation, le service a besoin d’identifier l’enfant et les créneaux demandés, de vérifier les places disponibles et de contacter le représentant. Les animateurs reçoivent les informations nécessaires à l’accueil dans leur périmètre. Ils n’ont pas besoin de voir les pièces financières utilisées pour calculer un tarif. Le projet retire donc cet accès de leur profil. La minimisation se traduit par un choix d’habilitation, et pas seulement par une réduction du nombre de champs. ^[1]

Pour la facturation, une équipe habilitée examine les informations tarifaires et produit les éléments nécessaires au paiement. La fiche décrit les échanges avec le système financier, les corrections et la gestion des contestations. Elle précise que les pièces tarifaires ne sont pas recopiées dans les listes quotidiennes d’activité. Cette séparation réduit les duplications et permet de déterminer quelle équipe peut répondre à une demande de rectification portant sur le montant.

Pour l’analyse de fréquentation, l’équipe propose d’abord une extraction nominative de toutes les réservations. La question est reprise : quel résultat cherche-t-elle ? Si elle veut connaître le nombre de places occupées par créneau, une agrégation peut suffire. Si elle veut comprendre les abandons individuels, la nécessité et la justification diffèrent. Le projet retient un tableau agrégé pour son objectif initial. Il ne conserve pas l’identité des enfants au seul motif qu’une analyse future pourrait devenir intéressante.

Le commentaire libre crée un autre problème. Certains représentants pourraient y inscrire une information de santé ou une difficulté familiale. Le service remplace ce champ général par des choix limités pour les questions ordinaires et un circuit distinct pour les situations exigeant un échange professionnel. Ce circuit précise les personnes habilitées et la nécessité des informations demandées. La cartographie montre ainsi un risque né du formulaire, avant qu’il ne devienne une base de données difficile à nettoyer.

Enfin, un flux de maintenance est ajouté à la carte. Le fournisseur peut intervenir sur l’application et accéder à certaines données dans des conditions définies. Le projet prévoit des comptes nominatifs, une autorisation d’intervention et une trace. La personne qui rédige la notice d’information vérifie que les destinataires et opérations décrits correspondent à ces accès réels. Les articles 13 et 14 du RGPD organisent l’information selon les modalités de collecte ; leur examen dépend de la provenance des données. ^[2]

Décrire la fin de vie des informations

La durée de conservation n’est pas une valeur unique attachée au logiciel. Les réservations, pièces tarifaires, factures et journaux de sécurité peuvent répondre à des besoins et règles différents. La cartographie décrit les étapes : utilisation active, accès restreint éventuel, suppression ou archivage selon le régime applicable. La durée applicable dépend de la finalité et des textes propres aux documents concernés ; elle ne se déduit pas du seul logiciel utilisé.

Une suppression dans l’interface ne démontre pas que toutes les copies ont disparu. Des exports, sauvegardes ou documents transmis peuvent persister. L’équipe identifie ces copies et les mécanismes permettant de les traiter. La limitation de conservation de l’article 5 doit être articulée avec les obligations d’archivage ou de conservation pertinentes, qui ne se déduisent pas du simple choix d’un paramètre technique. ^[1]

L’objection tient au niveau de détail : une carte exhaustive pourrait devenir illisible. Une méthode proportionnée utilise deux niveaux. Le premier présente les finalités, les acteurs et les principales transmissions. Le second détaille les champs, les accès et les opérations sensibles. Les équipes peuvent ainsi discuter le fonctionnement général sans perdre la précision nécessaire pour concevoir les habilitations et vérifier les contrats.

La carte doit être confrontée à la pratique. Un agent peut exporter une liste pour résoudre un problème que le circuit officiel traite mal ; un fournisseur peut utiliser une copie de production pour tester une correction. Ces pratiques ne doivent pas être effacées du diagnostic parce qu’elles ne figuraient pas dans le projet initial. Les identifier permet de corriger le processus ou de créer un environnement adapté, plutôt que de conserver une représentation juridique idéale mais inexacte.

La cartographie est datée et possède un responsable de mise à jour. Une nouvelle extraction, une interface avec un partenaire ou un champ supplémentaire peut modifier le traitement sans changer le nom de l’application. Le circuit de changement doit donc demander quelle finalité, quelles données et quels destinataires sont affectés. Cette question permet de reprendre les décisions de conception pertinentes, au lieu d’attendre un incident pour découvrir que la carte ne correspond plus au service.

Une cartographie sert à prendre des décisions

Le résultat utile relie finalité, données, acteurs, flux, durée et décision de conception. Dans le cas municipal, il conduit à séparer les pièces tarifaires des listes d’activité, à réduire les données statistiques et à remplacer un champ libre trop large. Les articles 24 et 25 du RGPD soutiennent cette démarche de responsabilité et de protection dès la conception. La carte conserve la raison de chaque choix pour pouvoir le réexaminer lorsque le service évolue. ^[3]

La réponse à la question initiale est de partir des opérations et de leurs objectifs. Le logiciel devient un moyen situé dans cette carte, et non son principe d’organisation. Une cartographie réussie permet de dire quelle donnée est nécessaire, pour qui, pendant combien de temps et avec quel effet. Elle prépare une information compréhensible des personnes et des accès adaptés, tout en montrant les questions juridiques qui exigent un fondement propre.