Un accent ressort des guides de conformité publiés par l'autorité turque : lors d'une violation, répond non seulement celui qui a agi, mais aussi celui qui n'a pas pris les mesures nécessaires.
01. Où se situe la responsabilité
Le responsable de traitement est l'organisation elle-même, non un service ni un salarié. L'erreur d'un salarié n'exonère pas l'organisation ; on examine au contraire si les mesures techniques et organisationnelles nécessaires existaient.
02. Un protocole ne suffit pas
Les protocoles d'échange de données entre institutions ne constituent pas à eux seuls une base juridique. Le fondement légal du partage doit être démontré à part. C'est une lacune fréquente dans les contrats fournisseurs et partenaires.
03. La liste des mesures
Habilitations d'accès, journalisation, chiffrement, sauvegarde, formation de sensibilisation et plan de réponse aux incidents. Leur existence compte, tout comme la trace qu'elles sont exploitées régulièrement.
04. Culture de la preuve
Un contrôle ne demande pas la pratique mais son enregistrement. Si la revue annuelle des droits a eu lieu, il faut un procès-verbal ; s'il y a eu formation, une liste de présence. Une bonne pratique sans trace est réputée inexistante.
05. La chaîne fournisseurs
Il faut s'assurer que les fournisseurs sous-traitants appliquent les mêmes mesures. Inscrire un droit d'audit au contrat et l'exercer au moins une fois par an est le comportement attendu.
06. Par où commencer
Inventaire des données, matrice d'habilitations et tableau des durées de conservation. Sans ces trois documents, toutes les autres mesures restent en l'air.