Fichier clients, paie, prospection par courriel, vidéosurveillance, formulaire de contact sur le site : toute PME traite des données personnelles, et doit donc appliquer le règlement général sur la protection des données, le RGPD. La mise en conformité n’exige pas forcément un budget important. Elle repose sur une méthode, quelques documents et de bonnes habitudes. Voici les obligations, les étapes et les sanctions encourues.
Votre entreprise est-elle concernée ?
Oui, dès lors qu’elle collecte ou utilise des informations relatives à des personnes physiques identifiables : clients, prospects, salariés, candidats, fournisseurs personnes physiques. La taille de l’entreprise ne change rien au principe. Elle module seulement l’ampleur du travail à fournir.
Deux rôles sont à distinguer :
- le responsable de traitement, qui décide pourquoi et comment les données sont utilisées, c’est le cas de votre entreprise pour ses propres fichiers
- le sous-traitant, qui traite des données pour le compte d’un client, par exemple un prestataire informatique ou une agence marketing
Les grands principes à respecter
Le RGPD repose sur quelques règles simples :
- ne collecter des données que pour un objectif précis et légitime
- ne collecter que les données nécessaires à cet objectif
- fixer une durée de conservation limitée
- informer les personnes de l’usage fait de leurs données
- garantir leurs droits : accès, rectification, effacement, opposition
- protéger les données contre la perte, le vol ou l’accès non autorisé
Les étapes de la mise en conformité
La CNIL propose une démarche en six étapes, adaptée aux petites structures.
1. Désigner un pilote
Une personne de l’entreprise prend en charge le sujet. La désignation d’un délégué à la protection des données n’est obligatoire que dans certains cas, par exemple pour un traitement à grande échelle de données sensibles. Pour la plupart des PME, un référent interne suffit.
2. Cartographier les traitements
Listez tous les usages de données personnelles : gestion des clients, paie, recrutement, prospection, site internet, badges d’accès.
3. Prioriser les actions
Pour chaque traitement, vérifiez que seules les données nécessaires sont collectées, que la durée de conservation est définie et que les personnes sont informées.
4. Gérer les risques
Si un traitement présente un risque élevé pour les personnes, une analyse d’impact est à mener avant sa mise en œuvre.
5. Organiser les processus internes
Prévoyez comment répondre à une demande d’accès ou d’effacement, et comment réagir à une fuite de données.
6. Documenter la conformité
Rassemblez les documents qui prouvent votre démarche : registre, mentions d’information, contrats avec les sous-traitants, procédures.
Le registre des activités de traitement
Le registre est le document central. D’après la CNIL, il recense pour chaque traitement :
| Rubrique | Exemple pour un fichier clients |
|---|---|
| Finalité | Gestion des commandes et de la facturation |
| Catégories de personnes | Clients |
| Catégories de données | Identité, coordonnées, historique d’achat |
| Destinataires | Service commercial, expert-comptable |
| Durée de conservation | Durée de la relation commerciale, puis archivage légal |
| Mesures de sécurité | Accès par mot de passe, sauvegardes |
Une dérogation existe pour les structures de moins de 250 salariés, mais elle est très limitée : elle ne joue pas pour les traitements réguliers, comme la gestion des clients ou de la paie. En pratique, une PME doit donc tenir un registre. Un modèle simple est proposé par la CNIL sur son site.
Les obligations à ne pas oublier
L’information des personnes
Vos formulaires, votre site, vos contrats de travail doivent indiquer qui traite les données, pour quoi faire, combien de temps et comment exercer ses droits. Ces informations figurent souvent dans une politique de confidentialité, à laquelle renvoient vos conditions générales de vente.
La prospection commerciale
Envoyer des courriels de prospection à des particuliers suppose en principe leur consentement préalable. Entre professionnels, les règles sont plus souples si le message est en rapport avec la fonction de la personne. Dans tous les cas, chaque envoi doit permettre de se désinscrire facilement. Les bonnes pratiques sont détaillées dans notre fiche sur l’emailing en PME.
Les contrats avec les sous-traitants
Hébergeur, éditeur de logiciel, prestataire de paie : chaque contrat doit comporter des clauses sur la protection des données.
Les violations de données
Une fuite, une perte ou un accès non autorisé doivent être documentés. Lorsqu’ils présentent un risque pour les personnes, ils doivent être notifiés à la CNIL dans un délai de 72 heures.
Les sanctions encourues
La CNIL peut procéder à des contrôles, sur place ou en ligne. En cas de manquement, elle peut adresser un rappel à l’ordre, une mise en demeure ou prononcer une sanction. Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les sanctions prononcées contre des PME sont en pratique proportionnées à leur taille, mais la réputation de l’entreprise en souffre aussi.
Les outils pour vous aider
- les guides et modèles gratuits publiés par la CNIL, dont un modèle de registre
- les fonctions de gestion des consentements intégrées aux outils d’emailing et aux logiciels de gestion de la relation client
- l’accompagnement d’un avocat ou d’un consultant spécialisé pour les traitements sensibles
Questions fréquentes
Faut-il déclarer ses fichiers à la CNIL ?
Non. Depuis l’entrée en application du RGPD, les déclarations préalables ont en grande partie disparu. C’est à l’entreprise de documenter elle même sa conformité.
Combien de temps garder les données d’un prospect ?
La CNIL recommande en général une durée de trois ans à compter du dernier contact émanant du prospect. Au delà, les données doivent être supprimées ou anonymisées.
Que faire des fichiers à la fermeture de l’entreprise ?
Les données doivent être supprimées, sauf celles que la loi impose de conserver, comme les pièces comptables. Un fichier clients ne peut pas être cédé sans respecter les droits des personnes. Ce point fait partie des étapes pour fermer son entreprise.
Retrouvez nos autres fiches dans le guide droit des affaires.