RGPD en entreprise : obligations et mise en conformité

Entré en application en 2018, le Règlement général sur la protection des données (RGPD) encadre la manière dont les organisations collectent, utilisent et conservent les données personnelles. Beaucoup de dirigeants le perçoivent encore comme une formalité abstraite ou une contrainte réservée aux grandes entreprises. En réalité, dès que vous disposez d'un fichier clients, d'une newsletter, d'un formulaire de contact ou de bulletins de paie, vous traitez des données personnelles et vous êtes concerné. Se mettre en conformité n'est pas qu'une obligation légale : c'est aussi un gage de sérieux qui rassure clients et partenaires.

Le règlement repose sur quelques principes simples qui doivent guider tous vos traitements de données :

• Finalité : chaque donnée est collectée pour un objectif précis, légitime et annoncé. On ne collecte pas « au cas où ».
• Minimisation : on ne recueille que les données strictement nécessaires à cet objectif, pas davantage.
• Durée de conservation limitée : les données ne sont pas gardées indéfiniment ; une durée est définie puis elles sont supprimées ou archivées.
• Sécurité : vous devez protéger les données contre la perte, le vol ou l'accès non autorisé par des mesures techniques et organisationnelles adaptées.
• Transparence : les personnes concernées doivent savoir quelles données vous détenez, pourquoi, et quels sont leurs droits.

Le registre des traitements est la pièce maîtresse de votre conformité. Il s'agit d'un document qui recense tous les traitements de données réalisés par votre entreprise : gestion des clients, paie, prospection commerciale, recrutement, vidéosurveillance, etc. Pour chacun, vous précisez la finalité, les catégories de données, les personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité. Obligatoire dès que le traitement n'est pas occasionnel, ce registre sert aussi de feuille de route : le constituer vous oblige à cartographier vos données et à repérer les points à corriger.

Tout traitement doit reposer sur l'une des bases légales prévues par le RGPD. Les plus courantes en entreprise sont :

• Le consentement : la personne a donné son accord libre, éclairé et révocable (typiquement pour une newsletter).
• Le contrat : le traitement est nécessaire à l'exécution d'un contrat (gérer une commande, livrer un client).
• L'obligation légale : vous êtes tenu de traiter la donnée par la loi (conservation de factures, déclarations sociales).
• L'intérêt légitime : un intérêt réel de l'entreprise qui ne porte pas une atteinte disproportionnée aux droits des personnes (certaines actions de prospection B2B, par exemple).

Identifier la bonne base légale pour chaque traitement est essentiel : c'est elle qui détermine, notamment, si vous devez recueillir un consentement explicite ou non.

Le RGPD renforce les droits des individus sur leurs données. Vos clients, prospects et salariés peuvent exercer un droit d'accès (savoir ce que vous détenez), de rectification (corriger une donnée erronée), d'effacement (« droit à l'oubli »), d'opposition (refuser un traitement, comme la prospection) et de portabilité (récupérer leurs données). Vous devez être en mesure de répondre à ces demandes, en principe sous un mois. Concrètement, cela suppose de savoir où sont stockées les données et de disposer d'une procédure interne pour traiter les demandes sans improviser.

Le délégué à la protection des données est le chef d'orchestre de la conformité : il conseille, surveille le respect du règlement et sert de point de contact avec l'autorité de contrôle. Sa désignation est obligatoire pour certains organismes (secteur public, traitements à grande échelle de données sensibles), mais de nombreuses PME choisissent d'en nommer un volontairement. Pour une petite structure, recruter un DPO à temps plein n'a pas de sens : la solution la plus répandue est le recours à un DPO externalisé, qui apporte l'expertise nécessaire pour un coût maîtrisé et sans conflit d'intérêts interne.

Les cookies et traceurs déposés par votre site web sont un sujet de conformité à part entière. Les cookies de mesure d'audience non exemptés, de publicité ou de réseaux sociaux nécessitent le consentement préalable du visiteur, recueilli via un bandeau clair qui permet aussi de refuser aussi facilement que d'accepter. Les cookies strictement nécessaires au fonctionnement du site, eux, n'exigent pas de consentement. Un bandeau conforme, couplé à une politique de confidentialité à jour, est aujourd'hui un minimum attendu, régulièrement contrôlé.

La conformité passe aussi par le choix de vos outils. Héberger les données chez des prestataires situés dans l'Union européenne simplifie vos obligations et évite les questions délicates de transfert de données hors UE. C'est notamment une raison de considérer une alternative à Google Workspace et Microsoft 365 hébergée en Europe pour votre messagerie et vos outils collaboratifs. À chaque fois que vous faites appel à un sous-traitant qui traite des données pour votre compte, un contrat encadrant ses obligations est requis.

Une démarche réaliste se déroule par étapes : cartographier vos traitements dans un registre, vérifier la base légale de chacun, mettre à jour vos mentions d'information et votre politique de confidentialité, sécuriser l'accès aux données, préparer une procédure pour les demandes d'exercice de droits, et enfin assurer un suivi dans le temps. La conformité n'est pas un état figé mais un processus continu. Si vous ne savez pas par où commencer, n'hésitez pas à nous contacter pour un premier échange.

Questions fréquentes

Mon entreprise est petite : suis-je vraiment concerné par le RGPD ?

Oui. Le RGPD ne prévoit pas de seuil d'effectif ou de chiffre d'affaires en dessous duquel vous seriez dispensé. Dès que vous traitez des données personnelles (nom, e-mail, téléphone, adresse) de clients, de prospects ou de salariés, vous entrez dans son champ d'application, quelle que soit la taille de votre structure. Les obligations sont simplement proportionnées au risque : une TPE qui gère un fichier clients et une newsletter n'a pas les mêmes contraintes qu'un grand groupe traitant des données de santé à grande échelle. Mais les principes de base (finalité, minimisation, information, sécurité) s'appliquent à tous.

Suis-je obligé de désigner un DPO ?

Pas nécessairement. La désignation d'un délégué à la protection des données est obligatoire dans trois cas : vous êtes un organisme public, votre activité principale implique un suivi régulier et à grande échelle des personnes, ou vous traitez à grande échelle des données dites sensibles. En dehors de ces situations, la plupart des PME ne sont pas tenues d'en désigner un. Beaucoup choisissent toutefois de le faire volontairement, souvent via un DPO externalisé, car cela structure la conformité, rassure les partenaires et évite les erreurs coûteuses. Même sans DPO, vous restez pleinement responsable du respect du règlement.

Que risque-t-on en cas de non-conformité ?

Le RGPD prévoit des sanctions administratives qui peuvent être importantes, calculées en fonction de la gravité et du caractère intentionnel du manquement. Mais au-delà de l'amende, le risque le plus concret pour une PME est souvent réputationnel : une fuite de données ou une plainte client mal gérée peut durablement entamer la confiance. À l'inverse, une mise en conformité sérieuse se transforme en argument commercial, notamment face à des clients professionnels de plus en plus attentifs à la façon dont leurs données sont traitées par leurs fournisseurs.

• DPO externalisé & RGPD — déléguer le pilotage de votre conformité à un expert.
• Alternative à Google Workspace & Microsoft 365 — des outils collaboratifs hébergés en Europe.
• Nous contacter — pour un premier échange sur votre mise en conformité.