Un client vous écrit pour savoir quelles données vous détenez sur lui. Vous avez un mois pour répondre. Savez-vous seulement où elles sont stockées ?
C’est souvent à ce moment-là qu’une entreprise découvre qu’elle n’a jamais vraiment fait sa mise en conformité. Le RGPD s’applique pourtant depuis le 25 mai 2018, à toutes les structures qui traitent des données personnelles, de l’indépendant au grand groupe.
Cet article se concentre sur la conformité en matière de données personnelles. Mais le mot recouvre d’autres réalités, et on y revient en fin d’article.
Ce que « mise en conformité » veut dire en pratique
Se mettre en conformité, c’est aligner vos pratiques réelles sur les règles qui s’imposent à vous. Puis être capable de le prouver.
Ce second point change tout. Le RGPD repose sur le principe de responsabilité (on parle d’« accountability ») : vous devez documenter vos choix et pouvoir les montrer en cas de contrôle.
Avant 2018, la logique était inverse. On déclarait ses fichiers en amont. L’histoire de la déclaration à la CNIL montre bien ce basculement : la plupart des formalités préalables ont disparu, remplacées par une documentation interne tenue à jour.
Les cinq étapes d’une mise en conformité RGPD
1. Cartographier vos traitements
Listez tout ce que vous faites avec des données : paie, fichier clients, prospection, vidéosurveillance, formulaire de contact, outils d’analyse du site.
Pour chaque traitement, notez la finalité, les catégories de données, les destinataires, la durée de conservation. Vous avez alors la base de votre registre des activités de traitement (article 30 du RGPD).
Un doute sur ce qui entre dans le champ ? Une adresse e-mail professionnelle nominative est déjà une donnée à caractère personnel.
Interrogez chaque service. Le commercial qui garde un fichier Excel sur son ordinateur portable crée lui aussi un traitement.
2. Vérifier la base légale de chaque traitement
Chaque traitement doit reposer sur l’une des six bases prévues par l’article 6 : consentement, contrat, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public ou intérêt légitime.
Le consentement n’est pas la solution par défaut. Mais quand c’est la bonne base, il doit être libre, spécifique, éclairé et univoque.
3. Trier et limiter
Supprimez les données inutiles. Fixez des durées de conservation. Restreignez les accès.
À mon sens, c’est l’étape la plus rentable : moins de données, c’est moins de risque en cas de fuite.
4. Informer les personnes et gérer leurs droits
Vos mentions d’information doivent dire qui traite les données, pourquoi, combien de temps, et comment exercer ses droits. Sur un site, elles complètent les mentions légales obligatoires.
Les personnes disposent d’un droit d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité. Vous répondez dans un délai d’un mois, prolongeable dans certains cas.
5. Sécuriser et encadrer vos prestataires
Mesures techniques (mots de passe, sauvegardes, chiffrement) et organisationnelles (habilitations, procédures). Et un contrat conforme à l’article 28 avec chaque sous-traitant qui manipule vos données : hébergeur, éditeur de logiciel, prestataire d’e-mailing.
Les obligations qui dépendent de votre activité
Certaines règles ne concernent pas tout le monde. Le tableau qui suit résume les principales.
| Obligation | Qui est concerné |
|---|---|
| Registre des traitements | Quasiment toutes les structures en pratique |
| Délégué à la protection des données (DPO) | Organismes publics, suivi régulier et systématique à grande échelle, données sensibles à grande échelle |
| Analyse d’impact (AIPD) | Traitements susceptibles d’engendrer un risque élevé pour les personnes |
| Notification d’une violation | Tout responsable de traitement, à la CNIL dans les 72 heures si la violation présente un risque |
| Consentement aux cookies | Tout site qui dépose des traceurs non strictement nécessaires |
Pour la prospection commerciale, les règles varient selon le canal et la cible (particuliers ou professionnels). Les droits des personnes prospectées méritent une lecture attentive avant toute campagne.
Les sanctions en cas de manquement
Un contrôle de la CNIL peut partir d’une plainte, d’un signalement ou d’une thématique prioritaire retenue pour l’année. Il peut se faire sur place, sur pièces ou en ligne.
La CNIL peut ensuite prononcer un rappel à l’ordre, une injonction sous astreinte, une limitation du traitement ou une amende administrative.
Le plafond est connu : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les PME ne sont pas épargnées, même si les montants sont proportionnés.
Mais le risque le plus fréquent n’est pas l’amende. C’est la plainte d’un client mécontent, ou la fuite de données qui abîme votre réputation.
Et les autres formes de mise en conformité ?
Hors données personnelles, l’expression vise aussi la sécurité au travail, l’accessibilité des locaux recevant du public ou les installations électriques. Dans l’entreprise, l’employeur doit faire vérifier périodiquement ses installations électriques et tenir les rapports à disposition.
Côté particuliers, la question se pose surtout lors d’une vente ou de travaux. Les règles propres au logement sont détaillées dans notre article sur la conformité d’une maison.
Mon conseil : quel que soit le sujet, gardez une trace écrite de chaque vérification. En cas de litige, c’est ce dossier qui vous protège.
Questions fréquentes sur la mise en conformité
Une petite entreprise doit-elle se mettre en conformité avec le RGPD ?
Oui. Le RGPD s’applique dès qu’une structure traite des données personnelles, quelle que soit sa taille. Certaines obligations sont allégées pour les petites structures, mais la tenue d’une documentation reste nécessaire en pratique.
Faut-il obligatoirement nommer un DPO ?
Pas toujours. La désignation est obligatoire pour les organismes publics et pour les structures dont l’activité principale implique un suivi régulier et systématique à grande échelle ou le traitement de données sensibles à grande échelle. Les autres peuvent en désigner un volontairement.
Combien de temps a-t-on pour répondre à une demande d’accès ?
Le délai est d’un mois à compter de la réception de la demande. Il peut être prolongé de deux mois si la demande est complexe ou si les demandes sont nombreuses, à condition d’en informer la personne.
Que faire en cas de fuite de données ?
Documentez l’incident en interne. Si la violation présente un risque pour les personnes, notifiez-la à la CNIL dans les 72 heures. Si le risque est élevé, informez aussi les personnes concernées.
