Le RGPD concerne toutes les entreprises qui collectent, utilisent ou conservent des donn\u00e9es personnelles. Une PME est donc concern\u00e9e d\u00e8s qu\u2019elle g\u00e8re des clients, des prospects, des salari\u00e9s, des fournisseurs ou des utilisateurs en ligne.<\/p>\n\n\n\n
L\u2019objectif n\u2019est pas seulement d\u2019\u00e9viter une sanction. Il s\u2019agit surtout de prot\u00e9ger les donn\u00e9es, de renforcer la confiance et de mieux organiser les informations utilis\u00e9es par l\u2019entreprise.<\/p>\n\n\n\n
<\/p>\n\n\n
Une donn\u00e9e personnelle correspond \u00e0 toute information qui permet d\u2019identifier une personne, directement ou indirectement.<\/p>\n\n\n\n
Il peut s\u2019agir, par exemple :<\/p>\n\n\n\n
Ainsi, une PME traite presque toujours des donn\u00e9es personnelles dans son activit\u00e9 quotidienne.<\/p>\n\n\n
Le RGPD ne vise pas seulement la collecte de donn\u00e9es. Il concerne aussi leur utilisation, leur stockage, leur transmission ou leur suppression. Par exemple, une entreprise r\u00e9alise un traitement lorsqu\u2019elle g\u00e8re un fichier client, envoie une newsletter, pr\u00e9pare la paie ou utilise un logiciel CRM.<\/p>\n\n\n\n
Il faut donc commencer par identifier les traitements existants. Cette \u00e9tape permet de savoir quelles donn\u00e9es l\u2019entreprise utilise, pourquoi elle les utilise et pendant combien de temps elle les conserve.<\/p>\n\n\n
Le registre des traitements constitue l\u2019un des outils principaux de conformit\u00e9. Il permet de recenser les traitements de donn\u00e9es r\u00e9alis\u00e9s par l\u2019entreprise.<\/p>\n\n\n\n
Ce registre indique notamment :<\/p>\n\n\n\n
M\u00eame lorsqu\u2019une PME b\u00e9n\u00e9ficie de r\u00e8gles plus souples que les grandes structures, elle a int\u00e9r\u00eat \u00e0 tenir ce registre. En pratique, il sert de preuve d\u2019organisation et facilite les contr\u00f4les. La CNIL propose d\u2019ailleurs des ressources d\u00e9di\u00e9es aux TPE-PME pour les aider \u00e0 int\u00e9grer ces obligations<\/a>.<\/p>\n\n\n Une entreprise ne peut pas utiliser des donn\u00e9es personnelles sans raison juridique valable. Chaque traitement doit reposer sur une base l\u00e9gale.<\/p>\n\n\n\n Les bases les plus fr\u00e9quentes sont :<\/p>\n\n\n\n Par exemple, une PME peut traiter les donn\u00e9es d\u2019un salari\u00e9 pour respecter ses obligations sociales. Elle peut aussi utiliser les coordonn\u00e9es d\u2019un client pour ex\u00e9cuter un contrat.<\/p>\n\n\n\n En revanche, pour certaines actions marketing, le consentement peut devenir n\u00e9cessaire.<\/p>\n\n\n Les personnes dont les donn\u00e9es sont collect\u00e9es doivent comprendre ce que l\u2019entreprise fait de leurs informations.<\/p>\n\n\n\n Il faut donc leur fournir une information claire. Cette information peut figurer dans une politique de confidentialit\u00e9, un formulaire, un contrat ou une mention d\u00e9di\u00e9e.<\/p>\n\n\n\n Elle doit notamment pr\u00e9ciser :<\/p>\n\n\n\n Ainsi, l\u2019entreprise montre qu\u2019elle traite les donn\u00e9es de mani\u00e8re transparente.<\/p>\n\n\n Le RGPD donne plusieurs droits aux personnes concern\u00e9es. Elles peuvent notamment demander l\u2019acc\u00e8s \u00e0 leurs donn\u00e9es, leur rectification ou leur suppression. Elles peuvent aussi s\u2019opposer \u00e0 certains traitements ou demander la limitation de l\u2019utilisation de leurs donn\u00e9es.<\/p>\n\n\n\n La PME doit donc pr\u00e9voir une proc\u00e9dure simple pour r\u00e9pondre \u00e0 ces demandes. En pratique, il faut identifier qui re\u00e7oit les demandes, qui les traite et dans quel d\u00e9lai.<\/p>\n\n\n La s\u00e9curit\u00e9 constitue un point central du RGPD. Une entreprise doit prot\u00e9ger les donn\u00e9es contre la perte, l\u2019acc\u00e8s non autoris\u00e9, la modification ou la divulgation.<\/p>\n\n\n\n Concr\u00e8tement, cela peut passer par :<\/p>\n\n\n\n La s\u00e9curit\u00e9 doit rester proportionn\u00e9e aux risques. Toutefois, m\u00eame une petite entreprise doit mettre en place des mesures de base.<\/p>\n\n\n Beaucoup de PME utilisent des prestataires : expert-comptable, logiciel de paie, h\u00e9bergeur, CRM, agence marketing ou outil de newsletter.<\/p>\n\n\n\n Lorsque ces prestataires traitent des donn\u00e9es pour le compte de l\u2019entreprise, ils deviennent des sous-traitants au sens du RGPD. Dans ce cas, l\u2019entreprise doit encadrer la relation par un contrat adapt\u00e9. La CNIL rappelle que les traitements r\u00e9alis\u00e9s par un sous-traitant doivent respecter le RGPD et \u00eatre organis\u00e9s par un contrat avec le responsable de traitement<\/a>.<\/p>\n\n\n\n Il faut donc v\u00e9rifier les engagements du prestataire, les mesures de s\u00e9curit\u00e9, les lieux d\u2019h\u00e9bergement et les conditions de suppression des donn\u00e9es.<\/p>\n\n\n Une violation de donn\u00e9es peut prendre plusieurs formes : piratage, perte d\u2019un ordinateur, envoi d\u2019un fichier au mauvais destinataire ou acc\u00e8s non autoris\u00e9 \u00e0 un logiciel.<\/p>\n\n\n\n En cas d\u2019incident, l\u2019entreprise doit d\u2019abord analyser la situation. Ensuite, elle doit documenter l\u2019\u00e9v\u00e9nement et mesurer le risque pour les personnes concern\u00e9es. Si la violation pr\u00e9sente un risque pour les droits et libert\u00e9s des personnes, l\u2019entreprise doit notifier la CNIL. Cette notification doit intervenir dans un d\u00e9lai de 72 heures lorsque cela est possible<\/a>.<\/p>\n\n\n\n En cas de risque \u00e9lev\u00e9, il peut aussi \u00eatre n\u00e9cessaire d\u2019informer directement les personnes concern\u00e9es<\/a>.<\/p>\n\n\n Le DPO, ou d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es, accompagne l\u2019entreprise dans sa conformit\u00e9 RGPD.<\/p>\n\n\n\n Toutes les PME ne doivent pas forc\u00e9ment en d\u00e9signer un. Toutefois, cette d\u00e9signation peut devenir obligatoire dans certains cas, notamment lorsque l\u2019activit\u00e9 implique un suivi r\u00e9gulier et syst\u00e9matique de personnes \u00e0 grande \u00e9chelle ou des donn\u00e9es sensibles.<\/p>\n\n\n\n M\u00eame lorsque le DPO n\u2019est pas obligatoire, une PME peut d\u00e9signer un r\u00e9f\u00e9rent interne. Cela permet de centraliser les questions li\u00e9es aux donn\u00e9es personnelles.<\/p>\n\n\n Certaines erreurs reviennent souvent dans les PME. Par exemple, beaucoup d\u2019entreprises collectent trop de donn\u00e9es. D\u2019autres conservent les informations trop longtemps ou oublient de s\u00e9curiser leurs fichiers clients. Il arrive aussi que les formulaires ne contiennent aucune mention d\u2019information. De m\u00eame, certains dirigeants utilisent des outils num\u00e9riques sans v\u00e9rifier les conditions RGPD du prestataire. Enfin, une erreur fr\u00e9quente consiste \u00e0 penser que le RGPD concerne uniquement les grandes entreprises. En r\u00e9alit\u00e9, les TPE et PME sont aussi concern\u00e9es d\u00e8s qu\u2019elles traitent des donn\u00e9es personnelles.<\/p>\n\n\n Le RGPD impose aux PME une organisation claire autour des donn\u00e9es personnelles. Il faut identifier les traitements, informer les personnes, s\u00e9curiser les donn\u00e9es, encadrer les prestataires et pr\u00e9voir une r\u00e9action en cas d\u2019incident.<\/p>\n\n\n\n La conformit\u00e9 ne repose pas forc\u00e9ment sur des d\u00e9marches complexes. En revanche, elle demande de la m\u00e9thode, de la transparence et un suivi r\u00e9gulier.<\/p>\n\n\n\n Pour une PME, le bon r\u00e9flexe consiste \u00e0 commencer par un diagnostic simple : quelles donn\u00e9es sont collect\u00e9es, pourquoi, o\u00f9 sont-elles stock\u00e9es et qui y acc\u00e8de ? Cette premi\u00e8re \u00e9tape permet souvent de b\u00e2tir une conformit\u00e9 solide et progressive.<\/p>\n\n\n\n Ces articles pourraient aussi vous int\u00e9resser : <\/strong><\/p>\n\n\n\n Arnaques au RGPD, redoublez de vigilance !<\/a><\/p>\n\n\n\n D\u00e9p\u00f4t des comptes annuels : obligations, proc\u00e9dure et risques<\/a><\/p>\n\n\n\n Avis siren : tout ce qu\u2019un entrepreneur doit savoir<\/a><\/p>\n\n\n\nD\u00e9finir une base l\u00e9gale pour chaque traitement<\/h2>\n\n\n
\n
Informer clairement les personnes concern\u00e9es<\/h2>\n\n\n
\n
Respecter les droits des personnes<\/h2>\n\n\n
S\u00e9curiser les donn\u00e9es personnelles<\/h2>\n\n\n
\n
Encadrer les sous-traitants<\/h2>\n\n\n
R\u00e9agir en cas de violation de donn\u00e9es<\/h2>\n\n\n
D\u00e9signer un DPO si n\u00e9cessaire<\/h2>\n\n\n
Les erreurs fr\u00e9quentes \u00e0 \u00e9viter<\/h2>\n\n\n
Conclusion<\/h2>\n\n\n
\n\n\n\n