RGPD en entreprise : par où commencer ?

Le RGPD est souvent présenté comme un sujet administratif. Pour une TPE ou une PME, c’est surtout un sujet d’organisation.

Qui collecte quelles données ? Pourquoi ? Où sont-elles stockées ? Qui y accède ? Combien de temps les garde-t-on ? Que fait-on si une personne demande une correction ou une suppression ?

Ces questions ne sont pas abstraites. Elles concernent les fichiers clients, les devis, la paie, les formulaires, les newsletters, les outils métiers, les exports Excel, les dossiers papier et les services en ligne.

Cette ressource s’appuie sur le règlement européen et les guides de la CNIL. Elle ne remplace pas un audit juridique, mais elle donne un ordre de travail fiable.

Le RGPD concerne aussi les petites entreprises

Le RGPD s’applique dès qu’une entreprise traite des données personnelles.

Une donnée personnelle est une information qui permet d’identifier directement ou indirectement une personne : nom, email, téléphone, adresse, identifiant client, historique d’achat, informations RH, coordonnées professionnelles, données de connexion, etc.

Le RGPD ne concerne pas seulement les grands logiciels. La CNIL rappelle qu’il peut aussi concerner les fichiers papier.

Pour une entreprise, le sujet n’est donc pas : “Avons-nous un gros système informatique ?”

La bonne question est : “Traitons-nous des informations sur des personnes ?”

Dans presque tous les cas, la réponse est oui.

Le registre : le point de départ

Le registre des activités de traitement est le premier outil à construire.

Il sert à recenser les traitements de données personnelles : gestion des clients, prospects, fournisseurs, salariés, candidatures, formulaires, facturation, support, newsletters, outils métiers.

Un registre utile répond à des questions simples :

quelle donnée est collectée ;
pour quelle finalité ;
sur quelle base légale ;
qui y accède ;
avec quels prestataires ;
combien de temps elle est conservée ;
quelles mesures de sécurité sont en place ;
quels risques doivent être surveillés.

La CNIL indique que le registre est demandé en cas de contrôle. Elle propose aussi un modèle simplifié adapté aux petites structures.

Informer les personnes

Le RGPD renforce l’obligation de transparence.

Une personne doit comprendre pourquoi ses données sont collectées, qui les traite, combien de temps elles sont conservées, à qui elles peuvent être transmises et comment exercer ses droits.

Dans une TPE/PME, cela se traduit par des choses concrètes :

une mention claire sous un formulaire de contact ;
une politique de confidentialité accessible ;
une information RH pour les salariés ;
une information client ou prospect quand les données sont collectées ;
une réponse organisée aux demandes d’accès, de rectification, d’opposition ou d’effacement.

La transparence n’est pas une phrase juridique cachée. C’est une information lisible au bon endroit.

Sécuriser les données

La sécurité dépend du risque, mais certaines mesures de base sont attendues.

La CNIL cite notamment des règles simples : sécuriser les accès, mettre à jour les logiciels, choisir les mots de passe avec soin, créer des profils distincts selon les besoins et prévoir sauvegarde et récupération.

Pour une petite entreprise, cela peut commencer par :

mots de passe robustes et gestionnaire de mots de passe ;
double authentification quand c’est possible ;
droits d’accès limités aux personnes concernées ;
sauvegardes testées ;
mises à jour régulières ;
verrouillage des postes ;
séparation des comptes personnels et professionnels ;
suppression des accès quand une personne quitte l’entreprise.

La conformité RGPD n’est pas seulement un document. Elle doit se voir dans les pratiques.

Encadrer les sous-traitants

Beaucoup de traitements passent par des prestataires : CRM, hébergement, email, formulaire, comptabilité, paie, stockage cloud, outil marketing, logiciel métier, solution IA.

Il faut savoir qui traite quoi pour votre compte.

Le bon réflexe est de vérifier :

le rôle du prestataire ;
les données confiées ;
le lieu d’hébergement ou de transfert ;
les engagements de sécurité ;
les conditions de suppression ;
le contrat ou les clauses RGPD ;
les sous-traitants ultérieurs éventuels.

Une entreprise reste responsable de ses choix de prestataires. Elle doit pouvoir expliquer pourquoi elle utilise un outil et comment les données sont protégées.

Prévoir les droits des personnes

Le RGPD donne des droits aux personnes concernées : accès, rectification, opposition, effacement, limitation, portabilité selon les cas.

Une petite entreprise n’a pas besoin d’une procédure complexe pour commencer. Elle doit surtout savoir quoi faire si une demande arrive.

Il faut décider :

qui reçoit la demande ;
qui vérifie l’identité si nécessaire ;
où chercher les données ;
comment répondre ;
comment garder une trace de la demande ;
quand refuser ou demander un avis spécialisé.

Le risque, dans les petites structures, est souvent l’improvisation. Une fiche interne suffit déjà à éviter beaucoup d’erreurs.

Que faire en cas de violation de données ?

Une violation de données est un incident de sécurité qui touche des données personnelles : accès non autorisé, perte, destruction, divulgation, modification, vol d’ordinateur, erreur d’envoi, compte compromis.

La CNIL indique qu’un signalement doit être fait dans les 72 heures si l’incident présente un risque pour les personnes.

Si le risque est élevé, les personnes concernées doivent aussi être informées.

Il faut donc prévoir avant l’incident :

qui est alerté ;
comment qualifier l’incident ;
où documenter ce qui s’est passé ;
qui contacte le prestataire si un outil est en cause ;
qui décide si la CNIL doit être notifiée.

Le pire moment pour inventer une procédure, c’est pendant l’incident.

Le cas particulier des outils IA

Les outils IA ajoutent une question : quelles données l’entreprise leur transmet-elle ?

Avant de copier-coller un document dans un outil, il faut savoir s’il contient des données personnelles, des données clients, des informations RH, des données commerciales ou des éléments confidentiels.

La bonne pratique est de limiter les données, anonymiser quand c’est possible et préférer un environnement maîtrisé pour les traitements sensibles.

Le RGPD ne bloque pas l’IA. Il impose de savoir pourquoi des données personnelles sont utilisées, avec quelle base, par quel outil et avec quelles garanties.

Une méthode simple en 6 étapes

Pour commencer :

Lister les traitements existants.
Construire ou mettre à jour le registre.
Vérifier les mentions d’information.
Vérifier les droits d’accès et les prestataires.
Définir les règles de conservation et de suppression.
Prévoir une procédure de violation de données.

Cette méthode ne règle pas tous les cas particuliers, mais elle donne un socle solide.

En résumé

Le RGPD n’est pas seulement une contrainte. C’est une manière de reprendre le contrôle sur les données de l’entreprise.

Une entreprise qui sait quelles données elle traite, pourquoi, où elles sont stockées et qui y accède travaille déjà mieux.

La conformité commence rarement par un gros document. Elle commence par un inventaire honnête et une méthode tenue dans le temps.

Sources de référence utilisées

Il faut qu’on parle de vos données

Si vos données clients, RH, formulaires, exports et outils IA ne sont pas cartographiés, le diagnostic permet de remettre de l’ordre avant d’automatiser ou de connecter de nouveaux services.