Fichier clients, candidatures, bulletins de paie, commandes en ligne : les obligations du RGPD concernent presque toutes les entreprises, y compris les petites structures. Dès qu’une organisation utilise des informations permettant d’identifier une personne, elle doit encadrer leur collecte, justifier leur utilisation et organiser leur protection. Une adresse professionnelle nominative ou un historique d’achats peuvent suffire ; les dossiers médicaux ne sont pas les seules informations concernées.
La conformité ne se limite pourtant ni à une bannière de cookies ni à une politique de confidentialité. Elle suppose des décisions concrètes : quelles informations demander, qui peut les consulter, combien de temps les conserver et comment réagir lorsqu’un fichier est envoyé au mauvais destinataire ? Pour rendre ces exigences accessibles, le parcours d’Atelier Horizon, une entreprise fictive de vente de mobilier employant vingt personnes, servira de fil conducteur. Entre son site marchand, ses prestataires et son service du personnel, cette PME rencontre les principales situations que les dirigeants doivent savoir traiter.
En bref : les obligations RGPD des entreprises
- Justifier chaque utilisation : toute opération portant sur des informations personnelles doit poursuivre un objectif précis et reposer sur une base légale adaptée ; le consentement n’est pas systématiquement nécessaire.
- Informer et répondre : clients, salariés et candidats doivent comprendre les usages prévus et pouvoir exercer leurs droits dans les délais applicables.
- Organiser la conformité : registre des traitements, responsabilités internes, contrats et analyses de risques permettent de démontrer les démarches réalisées.
- Protéger les informations : accès limités, sauvegardes, formation et contrôle des prestataires réduisent les risques opérationnels et juridiques.
- Préparer les incidents : une procédure de notification des violations aide à respecter les délais et à prévenir les personnes lorsque leur situation le nécessite.
1. Définir les traitements concernés et choisir leur base légale
Le RGPD concerne aussi les PME et les fichiers ordinaires
Le règlement général sur la protection des données est applicable depuis le 25 mai 2018. Il encadre les opérations réalisées sur des informations relatives à une personne physique identifiée ou identifiable : collecte, consultation, classement, transmission ou suppression. Un fichier informatique est concerné, mais aussi un dossier papier structuré selon des critères permettant de retrouver les personnes.
Chez Atelier Horizon, les coordonnées des acheteurs, les évaluations des salariés et les CV reçus constituent autant d’ensembles à examiner. À l’inverse, une statistique réellement anonymisée, ne permettant plus de réidentifier quelqu’un par des moyens raisonnablement susceptibles d’être utilisés, sort de ce cadre. Remplacer un nom par un numéro ne suffit généralement pas : il s’agit alors de pseudonymisation.
Le champ territorial ne dépend pas simplement de la nationalité des clients. Le texte s’applique notamment aux activités d’un établissement dans l’Union européenne et, sous certaines conditions, aux organismes extérieurs qui proposent des biens ou services à des personnes présentes dans l’Union ou suivent leur comportement sur ce territoire.
La taille de la structure ne crée donc aucune exemption générale. Pour comprendre ce cadre, les mécanismes du droit de l’Union européenne en France éclairent l’articulation entre le règlement et les dispositions nationales qui le complètent.
Une finalité précise avant toute collecte de données
Chaque usage doit poursuivre une finalité déterminée, explicite et légitime. « Améliorer l’activité » reste trop vague pour justifier n’importe quelle exploitation. Organiser une livraison, établir une facture ou examiner une candidature sont, en revanche, des objectifs compréhensibles qui permettent de déterminer les informations nécessaires.
Cette logique entraîne une obligation de minimisation. Pour livrer une table, Atelier Horizon peut demander une adresse et un numéro permettant au transporteur de joindre le destinataire. Recueillir sa situation familiale sans raison liée au service ajouterait une intrusion injustifiée. Chaque champ d’un formulaire devrait répondre à une question simple : à quoi sert-il réellement ?
Le consentement n’est qu’une des six bases légales
Le RGPD prévoit six fondements : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public et intérêt légitime. Le choix dépend de l’opération, pas de la solution la plus commode pour l’entreprise. Il doit être établi avant le démarrage, documenté et cohérent avec les explications données au public.
La préparation d’une commande relève généralement de l’exécution du contrat. Certaines obligations comptables justifient la conservation de pièces selon les textes applicables. L’intérêt légitime peut soutenir certains usages après une mise en balance documentée avec les droits et attentes des individus ; il ne constitue pas une autorisation générale de réutiliser tous les fichiers disponibles.
Lorsque le consentement est retenu, il doit être libre, spécifique, éclairé et exprimé par un acte positif non équivoque. Une case précochée ne convient pas. Son retrait doit être aussi simple que son octroi. Le caractère explicite est exigé dans certaines situations particulières, notamment pour certaines utilisations de données sensibles, et non pour tous les usages.
Les autres principes restent applicables : loyauté, transparence, exactitude, conservation limitée, intégrité, confidentialité et responsabilité démontrable. Une collecte licite ne rend pas automatiquement légitime toute utilisation ultérieure. Cette distinction détermine aussi ce que l’organisation doit expliquer aux personnes.
2. Informer clairement et garantir les droits des personnes
Une information accessible au moment approprié
La transparence consiste à expliquer les usages réels, pas à accumuler des pages juridiques. Lorsqu’Atelier Horizon demande les coordonnées d’un acheteur, celui-ci doit pouvoir identifier le responsable, comprendre les objectifs poursuivis et connaître les fondements retenus. L’information doit être accessible au moment de la collecte, et non dissimulée dans une rubrique difficile à trouver.
Les mentions présentent notamment les destinataires, la durée de conservation ou ses critères, les droits disponibles et la possibilité de saisir une autorité de contrôle. Elles précisent aussi, selon la situation, les coordonnées du délégué, l’existence de transferts hors de l’Espace économique européen et les garanties associées. Certains mécanismes de décision automatisée appellent des explications supplémentaires.
Quand les renseignements proviennent d’un tiers, des règles particulières déterminent le calendrier de communication : en principe dans un délai maximal d’un mois, parfois plus tôt selon la première communication ou transmission. Des exceptions existent, mais elles doivent être vérifiées et documentées. Acheter une liste de prospects ne dispense donc pas de s’interroger sur leur information.
Une présentation à plusieurs niveaux facilite la lecture. Un formulaire peut afficher quelques mentions immédiatement utiles, puis renvoyer vers une notice détaillée. Le vocabulaire doit rester adapté au public : une personne ne devrait pas avoir besoin d’une formation juridique pour comprendre pourquoi son numéro de téléphone est demandé.
Organiser les demandes sans promettre des droits absolus
Les droits des personnes comprennent notamment l’accès, la rectification, l’effacement, la limitation et l’opposition. La portabilité s’applique dans des conditions particulières : elle vise certains traitements automatisés fondés sur le contrat ou l’accord de l’intéressé. Elle ne permet donc pas d’exiger systématiquement le transfert de toutes les informations détenues par une société.
Le droit à l’effacement comporte également des limites. Un ancien client peut obtenir la suppression d’informations devenues inutiles, sans nécessairement pouvoir imposer la destruction immédiate d’une facture encore soumise à une obligation de conservation. La réponse doit distinguer les éléments supprimés, ceux maintenus et les raisons juridiques de ce maintien.
| Droit exercé | Exemple chez Atelier Horizon | Réponse attendue |
|---|---|---|
| Accès | Un salarié demande les informations le concernant. | Fournir une copie et les renseignements requis, en protégeant les droits des tiers. |
| Rectification | Une cliente signale une adresse erronée. | Corriger l’information et informer les destinataires lorsque les règles l’exigent. |
| Opposition à la prospection | Un prospect refuse les messages commerciaux. | Cesser l’utilisation de ses coordonnées pour cette finalité. |
| Effacement | Un candidat demande le retrait de son dossier. | Examiner la demande et supprimer les éléments sans justification de conservation. |
Un circuit interne pour respecter les délais
L’entreprise doit répondre sans retard excessif et, en principe, dans un délai d’un mois. Une prolongation de deux mois supplémentaires est possible compte tenu de la complexité et du nombre de demandes, à condition d’en informer l’intéressé durant le premier mois et de motiver ce report. Les réponses sont normalement gratuites.
En pratique, Atelier Horizon désigne une adresse de contact et forme l’accueil à reconnaître une demande, même lorsqu’elle ne cite aucun article du règlement. Réclamer systématiquement une pièce d’identité serait disproportionné : des informations supplémentaires peuvent être demandées lorsqu’il existe des doutes raisonnables sur l’identité du demandeur.
Un suivi centralisé conserve la date de réception, les vérifications effectuées et la réponse apportée. Les refus doivent être expliqués avec les voies de recours disponibles. Un droit annoncé dans une notice doit pouvoir être exercé dans les faits ; cela suppose une organisation identifiable derrière chaque engagement.
Cette capacité à retrouver les informations et à répondre rapidement dépend directement de la connaissance des fichiers, des responsabilités internes et des outils utilisés.
3. Tenir un registre des traitements et organiser la gouvernance RGPD
Le registre, un inventaire opérationnel plutôt qu’un formulaire décoratif
Le registre des traitements décrit les activités utilisant des informations personnelles. Il aide à repérer les destinataires, les outils, les durées de conservation et les responsabilités. Pour Atelier Horizon, une fiche peut concerner la gestion des commandes, une autre le recrutement et une troisième l’administration du personnel.
Les mentions requises comprennent notamment les finalités, les catégories de personnes et de renseignements, les catégories de destinataires et les éventuels transferts internationaux. Les délais d’effacement envisagés et une description générale des mesures techniques et organisationnelles figurent également dans le document lorsque cela est possible. Le responsable et le sous-traitant ont des obligations de tenue distinctes.
L’exception visant certaines organisations de moins de 250 personnes est limitée. Elle ne couvre notamment pas les opérations non occasionnelles, celles susceptibles de présenter un risque pour les droits et libertés, ni celles portant sur certaines catégories particulières ou pénales. Une PME qui gère régulièrement sa paie ne peut donc pas déduire de son effectif qu’elle n’a aucun registre à établir.
Ce document gagne à être relié aux usages concrets. Si le service commercial adopte une nouvelle plateforme, il faut vérifier les accès, les destinataires et les modalités d’effacement. Un inventaire exact l’année précédente peut devenir incomplet après un changement de logiciel ou une nouvelle campagne commerciale.
Quand faut-il désigner un délégué à la protection des données ?
La désignation d’un délégué à la protection des données, souvent appelé DPO, n’est pas obligatoire pour toutes les entreprises. Elle l’est notamment lorsque les activités de base exigent un suivi régulier et systématique à grande échelle, ou un traitement à grande échelle de données sensibles ou relatives aux condamnations et infractions. Les autorités et organismes publics sont également concernés, sous l’exception prévue pour certaines activités juridictionnelles.
Le seul fait de conserver quelques justificatifs médicaux de salariés ne suffit donc pas à conclure automatiquement à cette obligation. Il faut apprécier les activités de base, l’échelle et la nature des opérations. Une désignation volontaire reste possible, mais elle implique de respecter le cadre applicable à cette fonction.
Le délégué conseille, informe, contrôle le respect des règles et coopère avec l’autorité compétente. Il doit disposer de moyens, d’un accès au niveau le plus élevé de la direction et d’une indépendance dans l’exercice de ses missions. Il ne peut pas être chargé d’une fonction créant un conflit d’intérêts, par exemple lorsqu’il détermine lui-même les finalités et moyens qu’il devrait contrôler.
La responsabilité de la conformité demeure celle de l’organisation : elle n’est pas transférée au DPO. Chez Atelier Horizon, même sans désignation obligatoire, un référent peut coordonner les actions, tandis que la direction arbitre les moyens et que chaque service applique les procédures.
L’analyse d’impact pour anticiper les risques élevés
Une analyse d’impact relative à la protection des données doit précéder les opérations susceptibles d’engendrer un risque élevé pour les droits et libertés. Elle peut notamment être requise pour certains dispositifs de surveillance, évaluations automatisées ou usages massifs d’informations sensibles. Les critères et listes publiés par les autorités permettent d’apprécier cette nécessité.
L’exercice décrit le projet, examine sa nécessité et sa proportionnalité, puis évalue les risques et les mesures envisagées. Si Atelier Horizon souhaite déployer une surveillance particulièrement intrusive de ses équipes, une simple déclaration du fournisseur ne suffit pas : les conséquences pour les salariés doivent être étudiées.
Lorsqu’un risque élevé subsiste malgré les mesures prévues, une consultation préalable de l’autorité de contrôle est requise. La documentation doit guider les choix avant le déploiement, pas seulement expliquer les décisions après coup.
4. Assurer la sécurité des données et encadrer les prestataires
Des mesures proportionnées aux risques réels
La sécurité des données doit être adaptée à la nature des informations, au contexte et aux risques, en tenant compte de l’état des connaissances et des coûts de mise en œuvre. Le règlement ne fournit pas une configuration technique universelle. Un carnet de contacts et une base contenant des informations médicales n’appellent pas exactement les mêmes précautions.
Chez Atelier Horizon, chaque salarié dispose d’un compte individuel et n’accède qu’aux ressources nécessaires à ses missions. Le départ d’un collaborateur déclenche la fermeture de ses accès. Une authentification renforcée sur les services sensibles limite les conséquences d’un mot de passe compromis, tandis que les mises à jour réduisent l’exposition aux vulnérabilités connues.
Les sauvegardes doivent permettre une restauration effective, et pas seulement afficher un voyant rassurant. Des essais réguliers vérifient la récupération des fichiers et les délais de reprise. Selon les risques, le chiffrement, la segmentation des environnements, la journalisation ou la pseudonymisation complètent le dispositif.
La confidentialité n’est pas le seul objectif. Une panne qui rend durablement indisponibles les dossiers clients peut aussi poser un problème, même sans vol d’informations. La résilience des systèmes et la capacité à rétablir l’accès font donc partie de la réflexion, avec des tests réguliers de l’efficacité des mesures retenues.
Intégrer la protection dès la conception et par défaut
La protection des données dès la conception impose d’examiner ces questions au moment de créer ou modifier un service. Lorsqu’Atelier Horizon refond son espace client, les paramètres initiaux devraient limiter les informations accessibles et les usages au nécessaire. Les options les plus intrusives ne doivent pas devenir le réglage ordinaire par simple facilité technique.
Une durée de conservation doit également produire des effets dans les outils. Si un dossier doit être supprimé ou archivé à accès restreint, une procédure doit permettre cette opération. Garder indéfiniment toutes les candidatures « au cas où » ne constitue pas une politique de conservation justifiée.
Vérifier les contrats et les chaînes de sous-traitance
Un prestataire qui agit pour le compte de l’entreprise, par exemple un hébergeur ou un gestionnaire de paie, doit présenter des garanties suffisantes. Un contrat conforme à l’article 28 encadre notamment les instructions, la confidentialité, la sécurité, l’assistance, le recours à d’autres sous-traitants et le sort des informations à la fin de la prestation.
Une formule commerciale affirmant « solution conforme au RGPD » ne remplace pas cette vérification. Atelier Horizon doit connaître les services réellement fournis, les lieux d’hébergement et les possibilités d’accès depuis l’étranger. Les rôles dépendent des faits : un partenaire n’est pas automatiquement sous-traitant parce que le contrat utilise ce mot.
Encadrer les transferts hors de l’Espace économique européen
Un hébergement dans un pays tiers, ou certains accès à distance depuis ce pays, peuvent constituer un transfert nécessitant un mécanisme approprié. Une décision d’adéquation peut l’autoriser ; à défaut, des garanties telles que les clauses contractuelles types peuvent être mobilisées, avec les évaluations et mesures supplémentaires nécessaires selon le contexte.
Les dérogations prévues pour des situations particulières ne constituent pas un raccourci destiné aux flux habituels. Les questions de juridiction et de lois applicables rejoignent aussi les enjeux du droit international privé, sans remplacer les exigences propres au règlement européen.
Externaliser un outil ne revient pas à externaliser toute responsabilité. Les garanties contractuelles doivent rester cohérentes avec les pratiques techniques et la capacité du fournisseur à réagir lorsqu’un incident survient.
Les contrats, les contrôles d’accès et les sauvegardes réduisent les risques ; une procédure d’urgence reste nécessaire pour les situations où ces protections ne suffisent pas.
5. Gérer les violations et démontrer une conformité continue
Reconnaître un incident touchant des informations personnelles
Une violation peut résulter d’une destruction, d’une perte, d’une altération, d’une divulgation non autorisée ou d’un accès non autorisé. Elle n’implique donc pas nécessairement une cyberattaque spectaculaire. Un ordinateur perdu, un dossier écrasé ou un courriel adressé à la mauvaise personne peuvent entrer dans cette définition.
Supposons qu’Atelier Horizon transmette par erreur un tableau de rémunération à un fournisseur. L’équipe doit contenir la diffusion, identifier les éléments exposés et évaluer les conséquences possibles pour les salariés. Le fait que le destinataire semble digne de confiance compte dans l’analyse, mais ne permet pas d’écarter automatiquement tout risque.
Une procédure interne précise qui alerter, comment préserver les preuves et qui décide des communications. Elle prévoit aussi un relais lorsque le responsable habituel est absent. Sans cette préparation, les premières heures peuvent être perdues à rechercher les interlocuteurs plutôt qu’à limiter les effets de l’événement.
Notification des violations : comprendre le délai de 72 heures
La notification des violations à l’autorité compétente doit intervenir sans retard excessif et, si possible, au plus tard 72 heures après que le responsable en a pris connaissance, sauf si l’incident n’est pas susceptible d’engendrer un risque pour les droits et libertés. En France, l’interlocuteur est généralement la CNIL, sous réserve des règles de compétence applicables.
Ce délai ne commence pas nécessairement au premier signal technique inexpliqué : il se rattache à la connaissance d’une violation. L’organisation doit toutefois enquêter rapidement, sans retarder artificiellement cette qualification. Une notification tardive doit être accompagnée des motifs du retard.
Lorsque tous les éléments ne sont pas disponibles immédiatement, une transmission progressive est possible sans retard supplémentaire injustifié. La déclaration décrit notamment la nature de l’événement, les catégories et volumes approximatifs concernés lorsqu’ils sont connus, les conséquences probables, le contact utile et les mesures prises ou envisagées.
Si le risque est élevé, les personnes touchées doivent également être informées dans les meilleurs délais, sauf exception applicable. Cette communication explique concrètement la situation et les précautions utiles. Elle ne se confond pas avec la déclaration à l’autorité, car son objectif est de permettre aux intéressés de se protéger.
Documenter les décisions, même sans déclaration externe
Toutes les violations doivent être documentées, y compris celles qui ne sont pas notifiées. Le dossier conserve les faits, leurs effets, les actions correctrices et le raisonnement suivi. Un sous-traitant doit, de son côté, prévenir le responsable sans retard excessif après avoir pris connaissance d’une violation.
Cette traçabilité rejoint le principe de responsabilité, souvent désigné par le terme accountability. Une politique interne ne suffit pas si personne ne peut montrer comment elle est appliquée. Les preuves utiles comprennent les formations réalisées, les vérifications des prestataires, les demandes traitées, les tests de restauration et les décisions de conservation.
Sanctions et contrôles : une réponse proportionnée aux manquements
Les plafonds dépendent des obligations enfreintes. Certains manquements peuvent entraîner jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent ; les plus graves, jusqu’à 20 millions d’euros ou 4 %, le montant le plus élevé étant retenu. Ces plafonds ne correspondent pas à des sanctions automatiques.
L’autorité tient notamment compte de la gravité, de la durée, de la coopération et des mesures correctrices. Des rappels à l’ordre, injonctions ou limitations d’activité sont également possibles. Les personnes lésées peuvent demander réparation lorsqu’un dommage et les autres conditions juridiques sont établis.
Chez Atelier Horizon, chaque incident débouche sur une correction précise : modification d’un partage, retrait d’un accès ou formation ciblée. La conformité se démontre par des décisions suivies d’effets, réexaminées lorsque les usages et les risques évoluent.
Questions fréquentes sur les obligations RGPD des entreprises
Une petite entreprise doit-elle respecter le RGPD ?
Oui, dès lors que ses activités relèvent du champ du règlement. L’effectif ne crée aucune exemption générale. Certaines obligations comportent des conditions particulières, comme la désignation d’un DPO ou la réalisation d’une analyse d’impact, mais la licéité, l’information et la sécurité concernent aussi les petites structures.
Faut-il obtenir un consentement pour chaque utilisation de données ?
Non. Chaque utilisation doit reposer sur une base légale adaptée, qui peut être le contrat, une obligation légale ou, sous conditions, l’intérêt légitime. Lorsque le consentement est nécessaire, il doit être libre, spécifique, éclairé, non équivoque et révocable facilement. Des règles particulières concernent notamment la prospection et certains traceurs.
Combien de temps une entreprise peut-elle conserver les informations de ses clients ?
Il n’existe pas de durée unique. Elle dépend de la finalité et des textes applicables. Les coordonnées utiles au suivi commercial, les factures et les éléments nécessaires à un contentieux peuvent relever de durées différentes. La justification doit être documentée et accompagnée de mécanismes d’effacement ou d’archivage appropriés.
Toutes les violations doivent-elles être déclarées à la CNIL ?
Non. La notification à l’autorité est requise sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. Toutes doivent néanmoins être documentées. Une information des personnes est aussi requise lorsque le risque est élevé, sauf exception prévue par le règlement.
