Le RGPD au prisme des données papier : le grand oublié de la conformité ?
Alors que la transformation numérique a concentré les efforts de mise en conformité sur les systèmes d’information et les traitements digitaux, un pan entier des obligations du Règlement Général sur la Protection des Données reste souvent négligé : la gestion des données à caractère personnel sur papier.
Pourtant, le règlement ne fait aucune distinction selon le format de conservation ou de traitement : toute donnée à caractère personnel, quel que soit son support, est soumise aux exigences du RGPD. L’enjeu est donc double : éviter un angle mort de conformité et reconnaître la persistance du papier dans les processus métier.
Dans cet article, nos experts consultants RGPD vous expliquent les spécificités des données au format papier, et vous donnent les clés afin d’assurer leur sécurité ainsi que leur traitement éthique.
Oui : les données papier sont concernées par le RGPD
L’article 2 1 du RGPD précise que le texte s’applique aux traitements automatisés, mais aussi aux traitements non automatisés de données contenues ou appelées à figurer dans un fichier. En d’autres termes, un classement manuel structuré, comme un fichier papier organisé alphabétiquement ou par service, entre pleinement dans le champ du règlement.
Ainsi, les registres manuscrits, dossiers RH, contrats clients imprimés, fiches d’inscription, ou encore questionnaires papier peuvent concerner des traitements lorsqu’ils permettent l’accès facilité à des données personnelles.
Pourquoi les traitements papier sont souvent ignorés ?
Plusieurs facteurs expliquent que les données traitées sous format papier soient oubliées :
- Focalisation sur les systèmes informatisés, souvent à l’initiative des DSI ou RSSI
- Méconnaissance des obligations RGPD dans les services administratifs ou de terrain
- Difficulté d’identification des gisements documentaires dispersés et souvent non déclarés
- Absence d’outillage pour assurer la traçabilité ou la sécurisation physique de ces données
Pourtant, l’existence de traitements papier non maîtrisés constitue un risque réel, notamment en cas de contrôle de la CNIL ou de violation de données (ex. : dossier égaré, accès non autorisé, destruction non maîtrisée).
Intégrer le papier dans les outils de gouvernance
Il est obligatoire de prendre en compte les traitements papier : dans le registre des traitements, dans les analyses d’impact (AIPD) si le traitement répond à un niveau de risque élevé, dans les procédures de gestion des violations de données (ex. : perte d’un dossier papier) et dans les plans d’audit ou de contrôle interne.
Il ne s’agit en effet pas d’un traitement à part, mais d’un vecteur d’un traitement existant. À ce titre, il doit être documenté, justifié et maîtrisé.
Comment reprendre la main sur les données personnelles papier ?
Cartographiez les usages
Il convient d’intégrer dans la cartographie des traitements une recherche systématique des traitements sur support papier, notamment dans les services suivants :
- Ressources humaines : CV, dossiers salariés, arrêtés papier
- Accueil / relation client : formulaires de contact, registres visiteurs
- Services médico-sociaux ou sociaux : dossiers d’usagers, consentements manuscrits
- Événementiel, formation, communication : feuilles d’émargement, enquêtes de satisfaction
Cette étape peut passer par des entretiens ciblés et une sensibilisation des managers à l’identification des données personnelles manipulées physiquement.
Encadrez le cycle de vie des données papier
Les documents papier doivent faire l’objet d’une gestion rigoureuse, au même titre que les fichiers numériques, tel que :
- accès restreint aux personnes habilitées
- archivage sécurisé
- locaux fermés à clé
- armoires verrouillées
- durées de conservation définies et conformes aux règles légales
- procédures de destruction encadrées (ex. : déchiquetage, prestataires certifiés).
La politique de conservation des données doit ainsi explicitement mentionner les supports papier et intégrer des consignes claires.
Sensibiliser les équipes
Il est crucial d’inclure la gestion des supports papier dans les modules de formation et de rappeler les bonnes pratiques : ne pas laisser traîner des documents confidentiels, ne pas multiplier les photocopies, éviter les scans non nécessaires, etc.
Le RGPD ne concerne pas donc uniquement le numérique. Dans une époque où les organisations jonglent entre digitalisation et pratiques héritées, le traitement des données papier est un révélateur de maturité. Il met à l’épreuve la capacité d’une structure à déployer des principes de protection des données dans la réalité opérationnelle, jusque dans ses armoires de classement.
Sources
1 RGPD article 2, site de la CNIL
