Huit ans après son entrée en application, le RGPD reste perçu comme une contrainte technique réservée aux grandes entreprises. C'est une erreur qui coûte cher, et elle est très répandue.
Quand j'échange avec un dirigeant sur le RGPD, la conversation suit presque toujours le même chemin.
D'abord, il me dit qu'il est en règle. Ensuite, je lui demande s'il a un registre des traitements. Il ne voit pas de quoi je parle. Enfin, il me dit qu'il n'a pas de données sensibles, qu'il ne fait rien avec les données de ses clients, et qu'il n'est de toute façon pas concerné.
Il l'est. Dès qu'une entreprise a un salarié, un client ou un formulaire de contact, elle traite des données personnelles.
La bonne nouvelle, c'est que la mise en conformité d'une petite structure n'a rien d'insurmontable. Elle tient en cinq obligations. Les voici.
Ce qui compte comme donnée personnelle
Commençons par le malentendu le plus fréquent.
Une donnée personnelle, ce n'est pas seulement un numéro de sécurité sociale ou une information médicale. C'est toute information qui permet d'identifier une personne, directement ou indirectement.
Un nom. Une adresse email professionnelle. Un numéro de téléphone. Une adresse IP. Une photo. Un enregistrement de caméra. Un badge d'accès. Le contenu d'un dossier salarié.
Autrement dit : vous en traitez tous les jours, en volume, sans y penser.
Et si vous conservez des informations relatives à la santé, aux origines, aux opinions ou à l'appartenance syndicale de vos salariés, vous manipulez des données dites sensibles, soumises à un régime nettement plus strict.
Obligation 1 · Le registre des traitements
C'est le document que la CNIL demande en premier lors d'un contrôle. Et c'est celui que presque personne n'a.
Le registre recense l'ensemble des traitements de données que vous réalisez. Pour chacun, il précise la finalité, les catégories de données concernées, les personnes visées, les destinataires, la durée de conservation et les mesures de sécurité.
Cela paraît lourd. Ça ne l'est pas.
Pour une entreprise de dix personnes, un registre tient sur trois ou quatre pages. Vous y trouverez la gestion du personnel, la paie, la relation client, la prospection commerciale, la vidéosurveillance si vous en avez, et le site internet.
Le construire prend une demi-journée. Ne pas l'avoir vous met immédiatement en défaut.
Une exemption théorique existe pour les entreprises de moins de 250 salariés, mais elle ne joue en pratique presque jamais : elle ne dispense que des traitements occasionnels, sans risque et sans données sensibles. Or la paie, la gestion RH ou la relation client sont par nature des traitements récurrents, donc non occasionnels, et restent soumis au registre, quelle que soit la taille de l'entreprise.
Une structure d'une personne qui a un client est concernée.
Obligation 2 · Justifier chaque traitement
Vous ne pouvez pas collecter des données parce que ça pourrait servir un jour. Chaque traitement doit reposer sur une base légale, et il n'y en a que six.
Trois vous concernent en pratique.
Le contrat
Vous avez besoin de l'adresse de votre client pour le livrer. C'est nécessaire à l'exécution du contrat, aucune autorisation supplémentaire n'est requise.
L'obligation légale
Vous conservez les bulletins de paie parce que la loi vous y oblige. Là encore, pas de question à se poser.
L'intérêt légitime
Vous prospectez des professionnels dans votre secteur d'activité. C'est admis, à condition que la personne puisse s'y opposer facilement.
Le consentement est la quatrième base, et c'est celle qu'on utilise à tort et à travers. Elle ne s'applique qu'à des cas précis : la newsletter, certains cookies, la prospection vers des particuliers.
Un point important, et contre-intuitif : demander un consentement là où il n'est pas nécessaire affaiblit votre position. Si le consentement est la base affichée, la personne peut le retirer à tout moment, et vous devez alors cesser le traitement. Y compris en pleine exécution d'un contrat.
C'est pour cette raison que je ne mets pas de case « j'accepte la politique de confidentialité » sur mon propre site. On ne consent pas à une information, on en prend connaissance.
Obligation 3 · Ne rien garder indéfiniment
Une donnée se conserve le temps nécessaire à sa finalité, puis elle est supprimée ou archivée.
Les repères pour une petite structure :
| Type de donnée | Durée |
|---|---|
| Candidat non retenu | Deux ans au maximum après le dernier contact, et seulement si vous l'avez informé de cette conservation |
| Prospect sans suite | Trois ans après le dernier échange |
| Dossier salarié | Variable selon la nature des documents, avec un socle de cinq ans après le départ pour la plupart d'entre eux |
| Pièces comptables et facturation | Dix ans |
| Images de vidéosurveillance | Un mois au maximum, sauf incident justifiant une conservation plus longue |
Le tiroir de CV accumulés depuis quatre ans est une infraction. C'est le manquement que je rencontre le plus dans les entreprises, et l'un des plus faciles à corriger.
Obligation 4 · Informer et répondre
Toute personne dont vous traitez les données a le droit de savoir ce que vous en faites.
Cela suppose une information claire au moment de la collecte. Sur un formulaire de contact, cela tient en quelques lignes : qui traite les données, pourquoi, combien de temps elles sont conservées, à qui elles sont transmises, et comment exercer ses droits.
Cela suppose aussi une politique de confidentialité accessible sur votre site.
Et cela suppose de répondre aux demandes. Un salarié, un ancien salarié, un client ou un candidat peut vous demander l'accès à ses données, leur rectification, leur suppression, ou leur transmission à un tiers.
Vous avez un mois pour répondre. Ce délai court dès la réception de la demande, quelle que soit sa forme. Un simple email suffit à le déclencher.
Ne pas répondre, ou répondre hors délai, constitue en soi un manquement. C'est aussi l'un des motifs de plainte les plus fréquents auprès de la CNIL, formulée en majorité par d'anciens salariés.
Obligation 5 · Sécuriser, et savoir réagir
La sécurité n'est pas qu'une affaire de pare-feu.
Les mesures attendues d'une petite entreprise sont proportionnées à sa taille et à ses moyens. Des mots de passe individuels, jamais partagés. Des droits d'accès limités à ce qui est nécessaire. Des sauvegardes régulières et testées. Des postes verrouillés. Des documents papier rangés sous clé.
Et surtout, un réflexe en cas d'incident.
Si vous subissez une fuite de données susceptible de créer un risque pour les personnes concernées, vous devez la notifier à la CNIL dans les 72 heures. Si le risque est élevé, vous devez également informer les personnes concernées.
Ce délai est court. Il court à partir du moment où vous prenez connaissance de l'incident, pas du moment où vous en comprenez l'ampleur.
Savoir à l'avance qui fait quoi dans cette situation vous fera gagner un temps précieux.
Faut-il désigner un délégué à la protection des données ?
Pour la majorité des entreprises, la désignation n'est pas obligatoire. Elle le devient lorsque l'activité implique un suivi régulier et systématique de personnes à grande échelle, ou le traitement à grande échelle de données sensibles.
Une entreprise de services classique n'est généralement pas dans ce cas.
Mais l'absence d'obligation ne signifie pas l'absence de responsabilité. Quelqu'un doit porter le sujet en interne. Si ce n'est personne, c'est vous.
Ce que ça coûte de ne rien faire
Les sanctions prévues par le règlement peuvent atteindre plusieurs millions d'euros ou un pourcentage du chiffre d'affaires mondial.
Ces montants concernent les manquements les plus graves et les grandes structures. Ce n'est pas ce qui vous attend.
Ce qui vous attend, si un contrôle survient et que vous n'avez rien, c'est une mise en demeure, un délai contraint pour vous mettre en conformité, et un travail à mener dans l'urgence, avec l'aide de prestataires facturés au tarif de l'urgence.
Sans compter ce qui ne se chiffre pas : un ancien salarié qui dépose plainte, un client qui découvre que ses données circulent, une réputation entamée.
Par où commencer, concrètement
Si vous partez de zéro, l'ordre qui fonctionne est le suivant.
Faites l'inventaire de ce que vous détenez. Ouvrez vos armoires, vos disques durs, vos boîtes mail. Vous découvrirez des choses.
Construisez votre registre. Une demi-journée y suffit pour une petite structure.
Faites le ménage. Supprimez ce qui n'a plus de raison d'être conservé. C'est l'action la plus rapide et la plus efficace.
Corrigez vos formulaires. Une mention d'information claire, des cases de consentement uniquement là où elles sont nécessaires.
Écrivez votre politique de confidentialité, et rendez-la accessible.
Sécurisez les accès. Mots de passe individuels, droits limités, sauvegardes testées.
Une remarque pour finir
Ce qui rend le RGPD anxiogène, ce n'est pas sa complexité. C'est le flou.
Un dirigeant ne sait pas ce qu'il devrait avoir, donc il ne sait pas ce qui lui manque, donc il craint un contrôle sans pouvoir s'y préparer. Cette incertitude est plus épuisante que le travail lui-même.
Une fois le registre écrit et les documents en place, le sujet cesse d'occuper l'esprit. Il devient une routine annuelle de vérification.
C'est exactement le passage que j'accompagne.
