Compliance monitoring : pourquoi l’audit ponctuel ne suffit plus
Un audit RGPD photographie votre application à un instant donné. Trois sprints plus tard, la photo est périmée : un SDK mis à jour, une nouvelle régie ajoutée, une permission demandée pour une fonctionnalité, et le rapport ne décrit plus ce qui tourne en production.
Ce qui change sans que personne ne décide
Les SDK tiers évoluent à leur propre rythme. Une montée de version peut activer de nouveaux flux, changer de domaine de collecte ou élargir les données envoyées, sans qu’aucune décision produit n’ait été prise chez l’éditeur.
Le RGPD ne juge pourtant que le comportement effectif. C’est l’application telle qu’elle est distribuée qui engage l’éditeur, pas la version auditée six mois plus tôt.
Ce que recouvre le compliance monitoring
Le principe tient en une phrase : analyser chaque version publiée et alerter sur les écarts. Concrètement, cela veut dire détecter les nouveaux SDK et trackers, suivre l’évolution des permissions, vérifier que le consentement est toujours respecté et produire à chaque analyse un rapport daté, conservé comme preuve.
La comparaison entre versions fait la valeur de l’exercice : ce qui est apparu, ce qui a disparu, ce qui a changé de comportement.
Une exigence du régulateur, pas un confort
La recommandation de la CNIL consacre une section entière au maintien de la conformité durant le cycle de vie de l’application. Être conforme au lancement n’épuise pas l’obligation : il faut le rester, version après version.
Un monitoring documenté change aussi la position de l’éditeur en cas de contrôle : il démontre une diligence continue, avec des preuves datées à l’appui.
Le bon rythme
Le rythme naturel est celui de vos releases : chaque version publiée mérite son analyse. Une revue périodique complète le dispositif pour suivre l’évolution des référentiels, nouveaux trackers connus, permissions reclassées, exigences mises à jour.