Un ancien salarié demande la copie de toutes les données que l’entreprise détient sur lui. Le délai pour répondre est d’un mois. Personne ne sait où chercher : dans le logiciel de paie, la messagerie, le CRM, les tableurs partagés, les sauvegardes. C’est souvent à ce moment qu’une PME découvre que sa conformité au RGPD tient en une mention légale en bas du site. Voici les étapes pour construire une conformité réelle, proportionnée à la taille de l’entreprise.
Le RGPD s’applique-t-il à ma PME ?
Oui. Le règlement général sur la protection des données s’applique depuis le 25 mai 2018 à toute organisation qui traite des données personnelles, quelle que soit sa taille. Une donnée personnelle est toute information se rapportant à une personne identifiée ou identifiable : nom, adresse e-mail, numéro de téléphone, adresse IP, photo, données de paie.
Une PME traite presque toujours des données personnelles : celles de ses salariés, de ses clients, de ses prospects, de ses fournisseurs, et des visiteurs de son site internet.
Ce que risque une entreprise non conforme
Les amendes administratives peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour les manquements de moindre gravité, la CNIL dispose aussi d’une procédure simplifiée, qui permet de sanctionner plus rapidement les petites structures.
Au-delà des amendes, les risques les plus fréquents pour une PME sont ailleurs : une fuite de données qui abîme la confiance des clients, un contentieux avec un ancien salarié, ou un grand client qui exige des garanties avant de signer.
Les 7 étapes de la mise en conformité
1. Désigner un pilote
Quelqu’un doit porter le sujet. Dans certains cas, la désignation d’un délégué à la protection des données (DPO) est obligatoire : organismes publics, entreprises dont l’activité principale implique un suivi régulier et systématique de personnes à grande échelle, ou le traitement à grande échelle de données sensibles. Pour les autres, un référent interne formé suffit souvent. Voir DPO : maîtriser son rôle et ses missions.
2. Cartographier les traitements et tenir le registre
Listez tout ce que l’entreprise fait avec des données personnelles : paie, recrutement, gestion des clients, prospection, vidéosurveillance, newsletter. Pour chaque traitement, précisez sa finalité, les données collectées, les personnes concernées, les destinataires et la durée de conservation. C’est le registre des traitements, la pièce centrale de la conformité, et le premier document que demande la CNIL lors d’un contrôle.
3. Vérifier la base légale et la minimisation
Chaque traitement doit reposer sur une base légale : contrat, obligation légale, intérêt légitime, consentement, notamment. Et il ne doit collecter que les données strictement nécessaires. Les formulaires qui demandent la date de naissance « au cas où » sont un grand classique.
4. Informer les personnes
Salariés, candidats, clients, prospects : chacun doit être informé de l’utilisation de ses données, de leur durée de conservation et de ses droits. Cela passe par une politique de confidentialité sur le site, des mentions dans les formulaires et une note d’information pour les salariés.
5. Organiser l’exercice des droits
Accès, rectification, effacement, opposition, portabilité : les personnes peuvent exercer leurs droits, et l’entreprise doit répondre dans un délai d’un mois. Prévoyez qui reçoit les demandes, comment on retrouve les données et comment on répond.
6. Encadrer les sous-traitants
Éditeur de logiciel de paie, hébergeur, outil d’e-mailing, prestataire informatique : ces sous-traitants traitent des données pour votre compte. Le RGPD impose un contrat qui précise leurs obligations. Vérifiez aussi où sont hébergées les données, notamment en cas de transfert hors de l’Union européenne.
7. Sécuriser les données et gérer les violations
Mots de passe robustes, droits d’accès limités, sauvegardes, chiffrement des postes nomades : la sécurité est une obligation du RGPD. En cas de violation de données présentant un risque pour les personnes, l’entreprise doit la notifier à la CNIL dans les 72 heures et, si le risque est élevé, informer les personnes concernées. Tenez aussi un registre interne des violations.
Notre formation RGPD : fondamentaux et mise en conformité couvre l’ensemble de ces étapes.
Les points de vigilance par service
Ressources humaines. Dossiers du personnel, recrutement, outils de contrôle de l’activité : les données des salariés obéissent à des règles précises. Voir RGPD et ressources humaines.
Marketing. Prospection par e-mail, cookies, fichiers achetés : c’est le domaine le plus contrôlé par la CNIL. Voir RGPD et marketing digital.
Projets numériques. Tout nouvel outil doit intégrer la protection des données dès sa conception. Voir Privacy by design et privacy by default.
Intelligence artificielle. Coller des données clients dans un assistant d’IA est un transfert de données à un tiers. Voir Utiliser l’IA en entreprise sans enfreindre le RGPD.
Les erreurs les plus fréquentes
- Considérer que le RGPD ne concerne que le site internet. Les traitements les plus sensibles sont souvent internes : paie, recrutement, santé.
- Conserver les données indéfiniment. Chaque traitement doit avoir une durée de conservation définie, puis une suppression effective.
- Oublier les sous-traitants. Un contrat sans clause de protection des données expose l’entreprise.
- Faire un projet ponctuel. La conformité se maintient : chaque nouvel outil, chaque nouveau traitement doit être ajouté au registre.
Questions fréquentes
Une PME doit-elle tenir un registre des traitements ?
En pratique, oui. L’exemption prévue pour les entreprises de moins de 250 salariés est très limitée : elle ne s’applique pas aux traitements réguliers, comme la paie ou la gestion des clients, que toute entreprise réalise.
Faut-il un consentement pour toutes les données ?
Non. Le consentement n’est qu’une des bases légales possibles. La gestion de la paie repose sur une obligation légale, la gestion d’un client sur le contrat. Le consentement est nécessaire notamment pour la prospection par e-mail auprès des particuliers et pour la plupart des cookies.
Combien de temps conserver les données d’un candidat non retenu ?
La CNIL recommande de ne pas conserver un dossier de candidature plus de deux ans après le dernier contact, sauf si le candidat demande sa suppression plus tôt.
Que faire en cas de fuite de données ?
Contenir l’incident, évaluer le risque pour les personnes, notifier la CNIL dans les 72 heures si nécessaire, informer les personnes en cas de risque élevé, et consigner l’incident dans le registre des violations.
Retrouvez toutes nos formations RGPD et protection des données.