Rapport d'écarts et plan de remédiation · Dossier 2003-00002

Rapport d'écarts et plan de remédiation · Dossier 2003-00002
RAPPORT D'ÉCARTS ET PLAN DE REMÉDIATION
Dossier n° 2003-00002, Conformité RGPD, contrôle CNIL
Client : Nexalis Technologies SAS, éditeur de logiciels RH
Interlocutrice CNIL : Mme Laure Fontanel, juriste au service des contrôles
Associé responsable : Julien Roche · Collaboratrice : Camille Aubry
Date d'ouverture du dossier : 10 août 2025
Classement : Audit
I. OBJET
Le présent rapport est établi à la suite du contrôle sur place diligenté par la Commission nationale de l'informatique et des libertés dans les locaux de la société Nexalis Technologies SAS, sur le fondement des articles 8 et 19 de la loi n° 78-17 du 6 janvier 1978 modifiée. Il recense les écarts constatés au regard du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et propose un plan de remédiation hiérarchisé. L'enjeu financier identifié à ce stade, correspondant au coût estimé de la mise en conformité, s'élève à 24 000 EUR.
II. CONTEXTE
Nexalis Technologies SAS édite des solutions logicielles de gestion des ressources humaines et agit, selon les cas, en qualité de sous-traitant au sens de l'article 28 du RGPD pour le compte de ses clients employeurs, et de responsable de traitement pour ses traitements propres (prospection, gestion clients, RH interne).
III. ÉCARTS CONSTATÉS
Écart n° 1 : Registre des activités de traitement incomplet (article 30 RGPD). Le registre ne distingue pas les traitements opérés en qualité de responsable de ceux opérés en qualité de sous-traitant et omet les durées de conservation.
Écart n° 2 : Contrats de sous-traitance lacunaires (article 28, paragraphe 3, RGPD). Plusieurs contrats clients ne comportent pas l'ensemble des clauses obligatoires, notamment l'assistance au responsable de traitement et le sort des données en fin de contrat.
Écart n° 3 : Durées de conservation non définies ou excessives (article 5, paragraphe 1, e, RGPD), en particulier pour les données de candidats conservées dans les environnements de recette.
Écart n° 4 : Information des personnes insuffisante (articles 12, 13 et 14 RGPD), la politique de confidentialité ne couvrant pas l'ensemble des finalités ni les transferts éventuels.
Écart n° 5 : Analyse d'impact non réalisée pour le module d'évaluation des salariés (article 35 RGPD), traitement susceptible d'engendrer un risque élevé.
Écart n° 6 : Mesures de sécurité perfectibles (article 32 RGPD) : absence de politique de gestion des habilitations formalisée et journalisation partielle des accès.
IV. PLAN DE REMÉDIATION
Priorité 1 (30 jours) : refonte du registre article 30, sous la supervision du délégué à la protection des données ; formalisation de la politique d'habilitations et activation de la journalisation complète.
Priorité 2 (60 jours) : mise à jour de l'ensemble des contrats de sous-traitance par avenant conforme à l'article 28 ; refonte des mentions d'information et de la politique de confidentialité.
Priorité 3 (90 jours) : définition d'un référentiel de durées de conservation avec purge des environnements de recette ; réalisation de l'analyse d'impact relative au module d'évaluation, avec consultation préalable de la CNIL si le risque résiduel demeure élevé (article 36 RGPD).
Le budget global de remédiation est arrêté à 24 000 EUR, couvrant l'assistance juridique, l'audit technique et les développements correctifs.
V. SUIVI
Un point d'étape mensuel sera assuré par Camille Aubry, sous la