Le RGPD pour une TPE/PME

Le RGPD est entré en application en mai 2018 et beaucoup de TPE/PME ont l'impression que c'est un sujet pour les grandes entreprises. C'est une erreur. Dès que vous collectez des données personnelles, vous êtes concerné : adresses e-mail de clients, fiches employés, données de prospects, coordonnées de fournisseurs. La CNIL contrôle les petites structures, et les sanctions peuvent atteindre 4 % du chiffre d'affaires mondial ou 20 millions d'euros, même si les premières mesures sont souvent un avertissement et une mise en demeure.

RGPD : les principes fondamentaux

Le Règlement Général sur la Protection des Données repose sur sept principes que tout responsable de traitement doit respecter. Pour une TPE/PME, les quatre les plus opérationnels sont :

• Licéité : vous ne pouvez traiter des données que si vous avez une base légale (consentement, contrat, obligation légale, intérêt légitime).
• Minimisation : ne collecter que les données strictement nécessaires à la finalité prévue.
• Limitation de la conservation : les données ne doivent pas être gardées indéfiniment. Définir une durée de conservation et s'y tenir.
• Sécurité : mettre en place des mesures techniques et organisationnelles proportionnées au risque (mots de passe solides, chiffrement, sauvegardes).

Les 5 obligations concrètes d'une TPE/PME

1. Tenir un registre des activités de traitement

Toute organisation qui traite des données personnelles doit tenir un registre. Les entreprises de moins de 250 salariés bénéficient d'une exemption partielle : elles n'ont à recenser que les traitements qui présentent un risque pour les personnes, les traitements non occasionnels, et les traitements portant sur des catégories sensibles de données (santé, opinions politiques, religion).

En pratique, pour une TPE, cela couvre au minimum la gestion des clients, la gestion des salariés et le fichier prospects. La CNIL met à disposition un modèle de registre simplifié à télécharger gratuitement sur son site.

2. Informer les personnes concernées

Chaque fois que vous collectez des données, vous devez informer la personne : qui collecte, pourquoi, pendant combien de temps, qui a accès, et comment exercer ses droits. Cette information peut figurer dans votre formulaire de contact, vos CGV, votre contrat de travail ou votre politique de confidentialité.

3. Gérer les droits des personnes

Vos clients, prospects et salariés ont des droits : accès, rectification, effacement, opposition, portabilité. Vous devez être capable de répondre à une demande d'exercice de droit dans un délai d'un mois (prorogeable à trois mois en cas de complexité). Désignez un interlocuteur en interne qui gère ces demandes.

4. Sécuriser les données

Pas besoin d'une DSI pour respecter les bases. La CNIL recommande : mots de passe d'au moins 12 caractères avec complexité, mise à jour régulière des logiciels, chiffrement des données sensibles, sauvegardes régulières testées, accès limités aux seules personnes qui en ont besoin.

5. Gérer les violations de données

Si vous subissez une fuite de données (piratage, vol d'ordinateur, envoi de fichier au mauvais destinataire), vous avez 72 heures pour notifier la CNIL si la violation est susceptible d'engendrer un risque pour les personnes. Si le risque est élevé, vous devez aussi informer les personnes concernées sans délai. Tenir un registre interne de toutes les violations, même celles qui ne nécessitent pas de notification, est obligatoire.

Les traitements qui exigent une attention particulière

Certains traitements sont plus risqués et nécessitent une analyse d'impact sur la protection des données (AIPD) avant d'être mis en oeuvre. C'est le cas notamment :

• Du profilage commercial à grande échelle
• De la vidéosurveillance de salariés
• Du traitement de données de santé
• Des systèmes de contrôle d'accès biométrique

Pour une TPE/PME classique, l'AIPD n'est généralement pas requise. En revanche, si vous gérez des données de santé de salariés (arrêts maladie, handicap) ou si vous utilisez un logiciel de suivi d'activité des employés, une analyse s'impose.

Le DPO : obligatoire dans certains cas seulement

Le délégué à la protection des données (DPO) est obligatoire pour les organismes publics, les entreprises dont le core business est le traitement à grande échelle de données sensibles, et celles qui font du profilage à grande échelle. Pour une TPE/PME classique, il n'est pas obligatoire mais peut être désigné volontairement. La CNIL propose un outil de désignation en ligne.

Notre verdict

Le RGPD n'est pas un monstre administratif pour une petite structure. Les obligations de base tiennent en quelques documents : un registre, une politique de confidentialité, quelques clauses dans vos contrats avec les prestataires. Ce qui coûte cher, c'est d'ignorer le sujet jusqu'à recevoir un courrier de la CNIL. Notre conseil : consacrez une demi-journée à établir votre registre et à lire le guide gratuit publié par la CNIL avec Bpifrance. C'est suffisant pour mettre 80 % de votre conformité en place.