Obligations RGPD pour les petites entreprises : guide pratique et étapes concrètes

Au moment de la collecte de données, les entreprises doivent obtenir un consentement clair et éclairé de la part des personnes. L’entreprise doit garantir le droit des personnes : droit d’accès, droit de rectification, droit à l’oubli, droit à la portabilité… Les entreprises doivent mettre en place les mesures adéquates pour assurer un niveau de sécurité optimal des données personnelles : pseudonymisation, analyses d’impact (AIPD), tests d’intrusion… Toutes les entreprises doivent tenir un registre des traitements et le mettre régulièrement à jour. Certaines entreprises ont pour obligation de nommer un Data Protection Officer ou DPO.

RGPD : les risques et sanctions en cas de non-respect

Le législateur européen a prévu des amendes très importantes pour les entreprises ne respectant pas leurs obligations vis-à-vis du RGPD. Le RGPD prévoit des amendes administratives particulièrement élevées en cas de non-respect. Deux niveaux de sanctions existent : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour certains manquements et jusqu’à 20 millions d’euros ou 4 % pour les plus graves. D’où l’importance de mettre en conformité votre entreprise au RGPD si ce n’est pas déjà fait. Si vous souhaitez être accompagné dans cette démarche ou tout simplement pour obtenir des conseils, nous vous invitons à entrer en contact avec un Data Protection Officer ou DPO. Ces professionnels sont en mesure de vous accompagner dans la structuration de votre projet RGPD et son déploiement.

Obligations en matière de collecte, consentement et gestion des cookies

Le recueil des consentements au moment de la collecte des données est l’un des points les plus importants du RGPD. Les entreprises doivent obligatoirement demander un consentement clair et explicite à la personne au moment de la collecte des données. Vous ne pouvez pas réaliser des traitements sur des données sans avoir obtenu au préalable le consentement de la part des personnes sur lesquelles vous détenez les données. Concrètement, au moment de la collecte (au niveau de vos formulaires web par exemple), vous devez demander le consentement (sous forme d’une case à cocher par exemple) et expliquer de manière claire la raison de la collecte, ce que vous comptez faire des données. Ce principe de transparence est la condition nécessaire pour que le consentement soit « éclairé », donné en connaissance de cause. Une des conséquences du RGPD est qu’il est désormais obligatoire de demander le consentement de l’internaute lorsque le site utilise des cookies. Sous la forme d’un bandeau d’information affiché à la première visite de l’internaute, le site web doit donner la possibilité à l’internaute de refuser l’utilisation des cookies (ce que l’on appelle le droit d’opposition) et doit expliquer clairement la finalité des cookies. Le consentement peut être retiré à tout moment par la personne.

Les droits des personnes et les obligations associées

Toute entreprise stockant et utilisant des données à caractère personnel (les « DCP ») doit garantir les droits des personnes sur leurs données. Le RGPD prévoit notamment le droit d’accès, le droit à l’oubli, le droit de rectification, le droit à la limitation des traitements et le droit à la portabilité. Le droit d’accès permet au client de connaître les données détenues sur lui; le droit d’oubli autorise la suppression des données; le droit de rectification permet de corriger des données inexactes; la portabilité permet de récupérer ses données et de les transférer à un tiers; le droit d’opposition autorise à s’opposer à certaines finalités de traitement.

Le droit d’accès et le droit de rectification doivent être facilités par l’entreprise et exercés dans un délai d’un mois.
La portabilité nécessite une procédure interne pour permettre le téléchargement des données dans un format lisible (CSV, XML, JSON, etc.).
Le droit d’opposition peut être exercé lorsque le traitement est justifié par un intérêt légitime; si le traitement est fondé sur le consentement, le droit applicable est le retrait du consentement.

Sécurité des données et responsabilité

Les entreprises ont l’obligation de mettre en place les mesures de sécurité permettant d’assurer une sécurisation maximale de l’intégrité des données personnelles stockées dans le système d’information. C’est un point crucial puisque l’entreprise est responsable en cas de fuite de données (data leak). Ces mesures incluent le cryptage, la pseudonymisation ou l’anonymisation, les analyses d’impact (PIA) pour les données sensibles, les tests d’intrusion, et des procédures en cas de fuite de données. En cas de violation, l’entreprise doit immédiatement contacter la CNIL. Cette obligation concerne aussi les sous-traitants qui hébergent des données personnelles.

Lire aussi: Guide de la gestion de PME

Registre des traitements et responsabilités

Toutes les entreprises doivent tenir un « registre des traitements », un document recensant tous les traitements réalisés sur les données personnelles et régulièrement mis à jour. Pour les TPE/PME (< 250 salariés), le registre recense les traitements non occasionnels, les traitements potentiellement à risque et les traitements portant sur des données sensibles. Le représentant légal est désigné « responsable du traitement » et peut recourir à un sous-traitant. Le responsable du traitement doit informer les personnes concernées au moment de la collecte ou dans un délai raisonnable après l’obtention des données (1 mois en cas de collecte indirecte).

Autres obligations et bonnes pratiques

Parmi les obligations supplémentaires, certaines entreprises doivent désigner un DPO. Cette fonction peut être confiée à un salarié ou à un prestataire (par exemple cabinet d’avocats). Le principe de Privacy by Design impose d’intégrer la protection des données dès la conception des produits et services, et le principe de minimisation impose de ne collecter que les données nécessaires à l’objectif.

Pour les petites entreprises, des étapes concrètes pour démarrer la conformité comprennent : auditer les données, mettre à jour les politiques et les contrats, revoir les pratiques commerciales, former le personnel et se préparer aux violations. Des guides pratiques existent pour accompagner les TPE/PME dans cette démarche, et il est possible de recourir à un DPO externalisé pour bénéficier d’un accompagnement expert sans embauche à temps plein.

Comment démarrer et rester conforme étape par étape

Auditez vos données: recensez les données collectées, leur origine et leur destination, et vérifiez la base légale de chaque traitement.
Mettez à jour vos politiques et vos contrats: politique de confidentialité, cookies, DPA avec les sous-traitants, clauses de confidentialité dans les contrats.
Passez en revue les pratiques commerciales et le marketing: assurez-vous que le recueil du consentement est libre, éclairé, spécifique et univoque.
Formez le personnel: sensibilisation à la protection des données, bonnes pratiques et réponse en cas d’incident.
Préparez les procédures en cas de violation: plan de réponse, notification CNIL sous 72 heures et communication aux personnes concernées si nécessaire.

RGPD : quelles obligations pour les entreprises ?

Mythes courants à ignorer pour les petites entreprises

Beaucoup pensent à tort que les petites entreprises sont exemptes du RGPD ou que les exigences ne s’appliquent pas à elles. En réalité, le RGPD s’applique à toute organisation traitant des données personnelles de citoyens de l’UE, quel que soit son effectif. L’exemption relative à l’article 30 n’épargne pas les obligations essentielles; elle concerne surtout la tenue de registres détaillés. Le désir de limiter les coûts ne doit pas faire bannir le RGPD: les sanctions et la perte de confiance peuvent être bien plus coûteuses.

Ressources et accompagnement

Pour les PME qui souhaitent être guidées, des options existent: désigner un DPO interne ou externalisé, travailler avec des cabinets spécialisés, et utiliser des guides pratiques publiés par des autorités comme la CNIL ou des chambres de commerce. L’objectif est d’aborder le RGPD comme une opportunité de renforcer les pratiques de gestion des données et de gagner la confiance des clients et des donneurs d’ordre.

balises: #Entreprise