Bernard Malachane · 3 min de lecture
Trois ans d'observation des contrôles en banque. Ce qui change la trajectoire d'un contrôle, et ce qui ne change rien.
Sur la base de retours de contrôles dans la banque commerciale française entre 2023 et 2025, certains éléments font basculer le contrôle dans un sens ou dans l’autre. La plupart ne sont pas dans la communication officielle de la CNIL. Ils s’observent.
La cohérence entre le registre et la réalité applicative
Le premier test, dans la première heure, c’est de prendre une ligne du registre et de demander à voir l’application correspondante. Si la durée affichée dans le système ne correspond pas à la durée du registre, le ton de l’audit change. Pas parce que l’écart est dramatique en lui-même, mais parce qu’il révèle que personne ne vérifie la jointure.
Les sauvegardes
Question quasi systématique : « Combien de temps gardez-vous vos sauvegardes ? » La réponse « cela dépend de notre prestataire » est mal reçue. La CNIL attend que la banque connaisse, dans le détail, la politique de rétention de ses sauvegardes, et qu’elle l’aligne avec sa politique de purge productive. La déconnexion est très fréquente.
La gouvernance, pas le document
Le RGPD prévoit un DPO, un registre, des analyses d’impact. Tout cela existe dans la plupart des banques. Ce que la CNIL teste, c’est si le DPO est consulté avant les décisions techniques, ou seulement après. La trace de cette consultation (mails, comptes-rendus de comité, signatures) pèse plus que l’épaisseur du registre.
L’attitude pendant le contrôle
Cela paraît trivial, mais c’est confirmé par les retours : un contrôleur qui sent que la banque cherche à minimiser, ou à gagner du temps, pousse plus loin. Un contrôleur qui voit une équipe préparée, qui dit clairement où sont les écarts et comment ils sont priorisés, conclut plus vite.
Ce qui ne change rien
Trois choses qui sont souvent surinvesties par les banques et qui ne pèsent pas dans le contrôle :
- La présence ou l’absence de certifications (CIPP/E, AFCDP). Personnelles, utiles en interne, neutres pour le contrôleur.
- La beauté du registre. Un registre PowerPoint propre n’impressionne personne.
- Les bannières cookies. Sujet réel, mais marginal dans un contrôle de banque commerciale, qui se concentre sur la rétention applicative.
Conclusion pratique
Préparer un contrôle CNIL, c’est s’assurer que la règle écrite et la règle exécutée sont les mêmes. Tout le reste est secondaire.