La RGPD n’est pas une simple formalité administrative réservée aux grandes entreprises. Dès qu’une organisation collecte, consulte, conserve ou transmet des données personnelles, elle est concernée. Une adresse e-mail, un numéro de téléphone, une adresse IP, un relevé de connexion ou une information liée à un salarié : tout cela peut relever du règlement général sur la protection des données.
Depuis le 25 mai 2018, le RGPD encadre ces traitements dans l’Union européenne. Son objectif est clair : protéger les personnes sans empêcher les entreprises de travailler. Encore faut-il connaître les règles essentielles et les appliquer concrètement. Car en matière de données personnelles, l’improvisation coûte cher, en réputation comme en sanctions.
Comprendre ce qu’est une donnée personnelle
Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne physique. Le nom et le prénom sont les exemples les plus évidents. Mais la définition est beaucoup plus large.
- Adresse e-mail professionnelle ou personnelle ;
- Numéro de téléphone ;
- Adresse IP ;
- Identifiant client ou matricule salarié ;
- Données de géolocalisation ;
- Photographie ou enregistrement vidéo ;
- Informations bancaires ;
- Données de santé, opinions politiques ou appartenance syndicale.
Une entreprise n’a donc pas besoin de gérer des dossiers médicaux pour être soumise au RGPD. Un fichier de prospects, une liste de salariés ou un outil de suivi des candidatures suffit.
Le traitement, lui, désigne presque toute opération réalisée sur ces données : collecte, enregistrement, classement, consultation, modification, transmission ou suppression. Même une action apparemment anodine peut être un traitement.
Identifier le responsable du traitement
Le responsable du traitement est l’entité qui détermine pourquoi et comment les données sont utilisées. Dans une entreprise, il s’agit généralement de la société elle-même, et non du salarié qui saisit les informations dans un logiciel.
Cette distinction est importante. Le responsable du traitement doit s’assurer que les données sont collectées légalement, utilisées pour un objectif précis et protégées contre les accès abusifs. Il doit également pouvoir démontrer qu’il respecte ses obligations. Le RGPD repose sur un principe central : la responsabilité démontrée, ou accountability.
Un prestataire informatique, une agence marketing ou un éditeur de logiciel peut agir comme sous-traitant. Dans ce cas, l’entreprise reste responsable du choix du prestataire et doit encadrer la relation par un contrat conforme à l’article 28 du RGPD.
Définir une finalité précise avant toute collecte
On ne collecte pas des données « au cas où ». Chaque traitement doit répondre à un objectif déterminé, explicite et légitime. Une entreprise peut collecter une adresse pour livrer une commande. Elle ne peut pas automatiquement la réutiliser pour envoyer des publicités sans vérifier qu’elle dispose d’une base légale adaptée.
La finalité doit être compréhensible par la personne concernée. Une formule vague comme « améliorer nos services et nos activités » ne suffit pas toujours. Il faut expliquer ce qui sera réellement fait : gérer une commande, répondre à une demande, établir une facture, recruter, sécuriser un accès ou envoyer une newsletter.
Cette étape évite un grand classique : un fichier créé pour un motif précis qui finit par être exploité pour tout et n’importe quoi. Les données personnelles ne sont pas un stock gratuit dans lequel l’entreprise peut puiser sans limite.
Choisir la bonne base légale
Tout traitement doit reposer sur une base légale prévue par l’article 6 du RGPD. Les principales sont les suivantes :
- Le consentement : la personne accepte clairement un traitement déterminé. Le consentement doit être libre, spécifique, éclairé et univoque. Une case pré-cochée n’est pas valable ;
- L’exécution d’un contrat : le traitement est nécessaire pour fournir un produit, un service ou gérer une relation contractuelle ;
- L’obligation légale : l’entreprise doit traiter les données pour respecter une règle, notamment en matière comptable, sociale ou fiscale ;
- L’intérêt légitime : l’entreprise poursuit un objectif réel, à condition que les droits et libertés des personnes ne soient pas excessivement affectés ;
- La sauvegarde des intérêts vitaux : cette base concerne des situations exceptionnelles, notamment liées à la protection de la vie ou de l’intégrité physique.
Le consentement n’est donc pas la solution universelle. Pour établir une facture, l’entreprise n’a pas besoin de demander au client s’il accepte l’obligation comptable. En revanche, pour envoyer une newsletter commerciale, la question doit être examinée avec beaucoup plus de rigueur.
Informer les personnes de manière loyale
Une personne doit savoir ce que l’entreprise fait de ses données. Cette information doit être accessible, compréhensible et complète. La politique de confidentialité ne doit pas être rédigée comme un texte volontairement illisible destiné à décourager toute lecture.
Les mentions d’information doivent notamment préciser :
- L’identité du responsable du traitement ;
- Les finalités poursuivies ;
- La base légale utilisée ;
- Les catégories de données collectées ;
- La durée de conservation ;
- Les destinataires des données ;
- Les éventuels transferts hors de l’Union européenne ;
- Les droits des personnes et les modalités pour les exercer ;
- La possibilité de saisir la CNIL.
Une entreprise qui dissimule l’usage réel des données prend un risque juridique et une mauvaise décision commerciale. La transparence renforce la confiance. À l’inverse, découvrir que son adresse a été revendue ou que ses informations sont conservées indéfiniment provoque rarement l’enthousiasme.
Respecter le principe de minimisation
Le RGPD impose de ne collecter que les données nécessaires à la finalité prévue. Pour créer un compte client, demander le nom, l’adresse e-mail et un mot de passe peut être pertinent. Exiger la profession, la date de naissance, le numéro de sécurité sociale et les coordonnées d’un proche ne l’est probablement pas.
Chaque champ d’un formulaire doit pouvoir se justifier. Les champs facultatifs doivent être clairement identifiés. Cette règle vaut aussi pour les ressources humaines : une entreprise ne doit pas conserver dans un dossier de candidature des informations sans rapport avec le poste proposé.
La minimisation réduit les risques. Plus une entreprise détient de données, plus les conséquences d’une fuite sont importantes. La meilleure donnée personnelle à protéger reste souvent celle qui n’a jamais été collectée.
Fixer des durées de conservation
Les données ne doivent pas être conservées indéfiniment. L’entreprise doit définir une durée adaptée à chaque catégorie de traitement. Il faut distinguer la durée d’utilisation active, la conservation intermédiaire imposée par une obligation légale et la suppression définitive.
Par exemple, les données d’un client peuvent être utilisées pendant la relation commerciale, puis archivées pendant la période nécessaire au respect des obligations comptables. Les données d’un candidat non retenu peuvent être conservées plus longtemps uniquement dans certaines conditions, notamment pour permettre une nouvelle prise de contact avec son accord.
Un tableau de conservation est particulièrement utile. Il permet d’indiquer, pour chaque fichier, qui y accède, pourquoi il existe, combien de temps il est conservé et quand il doit être supprimé. Sans calendrier, les anciens fichiers s’accumulent silencieusement sur des serveurs, des ordinateurs portables et des boîtes mail.
Tenir un registre des traitements
Le registre des activités de traitement constitue l’un des outils essentiels de conformité. Prévu par l’article 30 du RGPD, il recense les traitements réalisés par l’entreprise.
Le registre doit généralement mentionner :
- La finalité du traitement ;
- Les catégories de personnes concernées ;
- Les catégories de données utilisées ;
- Les destinataires des informations ;
- Les durées de conservation ;
- Les mesures de sécurité appliquées ;
- Les éventuels transferts vers des pays tiers.
Les petites structures ne sont pas automatiquement dispensées. L’exemption prévue pour certaines entreprises de moins de 250 salariés ne s’applique pas lorsque les traitements sont réguliers, présentent un risque ou portent sur des données sensibles. En pratique, la plupart des entreprises ont intérêt à tenir un registre, même simple.
Protéger les données avec des mesures concrètes
La sécurité ne se résume pas à installer un antivirus. L’entreprise doit adopter des mesures techniques et organisationnelles proportionnées aux risques.
- Utiliser des mots de passe robustes et l’authentification multifacteur ;
- Limiter les accès aux seules personnes qui en ont besoin ;
- Chiffrer les ordinateurs portables et les sauvegardes sensibles ;
- Mettre régulièrement à jour les logiciels et les systèmes ;
- Effectuer des sauvegardes testées et isolées ;
- Former les salariés au hameçonnage et aux erreurs d’envoi ;
- Prévoir une procédure en cas de perte, de vol ou de piratage ;
- Conserver des traces des accès et des opérations sensibles.
Un fichier client envoyé par erreur au mauvais destinataire constitue déjà un incident de sécurité. Il n’est pas nécessaire qu’un pirate informatique soit impliqué. L’erreur humaine demeure l’une des causes les plus fréquentes de divulgation.
Réagir correctement en cas de violation de données
Une violation de données personnelles peut prendre plusieurs formes : piratage, destruction, perte, altération ou divulgation non autorisée. L’entreprise doit documenter chaque incident, même lorsqu’elle décide finalement de ne pas le notifier.
Lorsque la violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes concernées doivent également être informées rapidement.
La procédure interne doit répondre à des questions simples : qui est alerté, qui évalue le risque, qui contacte la CNIL, qui conserve les preuves et qui communique avec les clients ou salariés concernés ? Attendre que la situation se règle seule est rarement une stratégie.
Respecter les droits des personnes
Le RGPD reconnaît plusieurs droits aux personnes : accès, rectification, effacement, opposition, limitation du traitement et portabilité, lorsque les conditions sont réunies. Une personne peut demander quelles données l’entreprise détient sur elle et comment elles sont utilisées.
L’entreprise doit répondre en principe dans un délai d’un mois. Ce délai peut être prolongé de deux mois si la demande est complexe, mais la personne doit en être informée. Une demande ne doit pas être ignorée parce qu’elle arrive par e-mail plutôt que par un formulaire officiel.
Il est toutefois possible de vérifier raisonnablement l’identité du demandeur afin d’éviter de transmettre des informations à la mauvaise personne. Là encore, la prudence doit être proportionnée : demander une copie de pièce d’identité pour chaque demande banale peut créer un nouveau risque inutile.
Encadrer les sous-traitants et les outils numériques
Un logiciel de gestion commerciale, une plateforme d’e-mailing, un service de stockage en ligne ou un cabinet de paie peut accéder à des données personnelles. L’entreprise doit sélectionner ses prestataires avec sérieux et vérifier leurs garanties.
Le contrat doit préciser les instructions du responsable du traitement, la confidentialité, la sécurité, l’assistance en cas de demande d’exercice des droits, la gestion des violations et le sort des données en fin de contrat. Une simple clause générale affirmant que le prestataire « respecte la loi » est insuffisante.
Il faut également surveiller les transferts hors de l’Espace économique européen. Le recours à un outil américain ou à une solution hébergée dans plusieurs régions du monde peut entraîner des obligations spécifiques. Le lieu réel d’hébergement et les conditions d’accès aux données doivent être vérifiés, pas supposés.
Cookies, prospection et surveillance : les zones sensibles
Les cookies et traceurs publicitaires ne doivent pas être déposés sans respecter les règles applicables. La CNIL distingue notamment les traceurs strictement nécessaires de ceux utilisés pour mesurer l’audience, personnaliser la publicité ou suivre la navigation. Pour ces derniers, le consentement est généralement requis.
La prospection commerciale doit également être encadrée. L’envoi de messages électroniques à des particuliers suppose en principe un consentement préalable, avec des exceptions limitées, notamment pour des clients existants et des produits ou services analogues. Chaque message doit permettre une désinscription simple.
La surveillance des salariés mérite une attention particulière. Caméras, contrôle des connexions, géolocalisation des véhicules ou logiciels de suivi ne peuvent pas être installés sans finalité légitime, information des salariés et contrôle de la proportionnalité. Un employeur peut sécuriser son système ; il ne peut pas transformer chaque poste de travail en poste d’observation permanent.
Le rôle du DPO et la culture de conformité
Certaines organisations doivent désigner un délégué à la protection des données, ou DPO, notamment lorsqu’elles réalisent un suivi régulier et systématique à grande échelle ou traitent certaines catégories de données sensibles. Même lorsqu’il n’est pas obligatoire, un référent interne peut structurer efficacement la démarche.
La conformité ne doit pas reposer sur une seule personne. Les services commerciaux, les ressources humaines, l’informatique et la direction manipulent tous des données. Une formation courte, des procédures écrites et des contrôles réguliers produisent souvent plus d’effets qu’un document de conformité rangé dans un dossier jamais consulté.
Pourquoi les lanceurs d’alerte doivent connaître ces règles
Dans le cadre d’un signalement interne, les données personnelles du lanceur d’alerte, des témoins et des personnes mises en cause doivent être protégées. L’entreprise doit limiter les accès, préserver la confidentialité et éviter toute divulgation inutile.
La loi française, notamment la loi dite « Sapin II » modifiée, encadre le statut du lanceur d’alerte. Un dispositif d’alerte doit permettre de recueillir et de traiter les signalements dans des conditions sécurisées. Les informations doivent être conservées pendant une durée maîtrisée et accessibles uniquement aux personnes habilitées.
Une entreprise qui expose l’identité d’un lanceur d’alerte ou transmet sans précaution un dossier sensible peut aggraver considérablement la situation. La protection des données n’est donc pas un sujet purement informatique : elle touche directement la liberté de signaler des faits illicites et la protection contre les représailles.
Les sanctions en cas de manquement
La CNIL peut prononcer des mesures correctrices, demander une mise en conformité, limiter un traitement, ordonner la suspension d’un service ou infliger une amende administrative. Le plafond peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé, pour les manquements les plus graves.
Mais le risque financier n’est pas le seul problème. Une fuite de données peut entraîner des plaintes, des demandes d’indemnisation, une perte de confiance et une atteinte durable à la réputation. Une entreprise qui traite correctement les données ne se contente donc pas d’éviter une sanction : elle protège son activité.
Une méthode simple pour commencer
Pour avancer efficacement, une entreprise peut suivre une démarche en plusieurs étapes :
- Recenser les fichiers, logiciels et traitements existants ;
- Identifier les finalités et les bases légales ;
- Supprimer les données inutiles ou anciennes ;
- Rédiger ou mettre à jour les mentions d’information ;
- Formaliser les durées de conservation ;
- Vérifier les contrats des sous-traitants ;
- Renforcer les accès et les sauvegardes ;
- Organiser la réponse aux demandes des personnes ;
- Préparer une procédure de gestion des incidents ;
- Former les équipes et réévaluer régulièrement les mesures.
La RGPD n’exige pas une entreprise parfaite dès le premier jour. Elle exige une démarche sérieuse, proportionnée et documentée. La vraie question n’est pas de savoir si l’entreprise détient des données personnelles : elle en détient probablement déjà. La question est de savoir si elle sait où elles se trouvent, pourquoi elle les utilise, qui y accède et quand elle les supprimera.
