RGPD en entreprise : guide pratique pour se mettre en conformité
Le RGPD (Règlement Général sur la Protection des Données), entré en application en mai 2018, impose des obligations concrètes à toute organisation qui collecte, traite ou stocke des données à caractère personnel de résidents européens. Après plusieurs années d'application, les contrôles de la CNIL se sont intensifiés et les sanctions, autrefois symboliques, peuvent désormais atteindre plusieurs millions d'euros pour les cas les plus graves. Mais au-delà de la conformité légale, le RGPD est aussi une opportunité de structurer ses pratiques en matière de données et de renforcer la confiance de ses clients et partenaires.
Beaucoup d'entreprises, en particulier les PME, restent dans l'impasse : elles savent que le RGPD existe et qu'elles doivent s'y conformer, mais ne savent pas par où commencer. La mise en conformité peut sembler complexe et chronophage, mais elle se décompose en étapes concrètes et accessibles, avec ou sans DPO (Délégué à la Protection des Données). Ce guide propose un parcours pratique pour avancer de façon méthodique.
Trois piliers fondent la conformité RGPD : le registre des activités de traitement (inventaire de tous les traitements de données personnelles), le respect des droits des personnes (accès, rectification, effacement, portabilité), et la sécurité des données (mesures techniques et organisationnelles pour protéger les données). Une violation de données non déclarée à la CNIL dans les 72 heures est elle-même sanctionnable.
Qu'est-ce qu'une donnée personnelle selon le RGPD ?
Une donnée à caractère personnel est toute information qui permet d'identifier directement ou indirectement une personne physique. Le périmètre est plus large qu'on ne le pense souvent. Nom, prénom, adresse email professionnelle, numéro de téléphone : évidemment. Mais aussi une adresse IP, un identifiant de cookie, une localisation GPS, une photo, un numéro de client, un numéro de contrat qui renvoie à une personne identifiable. Les données dites "sensibles" (état de santé, opinions politiques ou religieuses, appartenance syndicale, données biométriques, données génétiques) sont soumises à un régime de protection renforcé et ne peuvent en principe être traitées qu'avec le consentement explicite de la personne concernée ou dans des cas très précis prévus par le règlement.
Les personnes morales (entreprises, associations) ne sont pas couvertes par le RGPD. Mais les données de contact d'un dirigeant d'une entreprise cliente (son adresse email professionnelle nominative, son numéro de portable) sont des données personnelles qui entrent dans le champ du règlement. De même, les données des salariés (RH, paie, formation) sont des données personnelles soumises au RGPD, ce qui signifie que tout employeur est concerné, quelle que soit sa taille.
| Obligation RGPD | Concerne toutes les entreprises ? | Délai de mise en oeuvre | Risque en cas de manquement |
|---|---|---|---|
| Registre des traitements | Oui (> 250 salariés ou traitements réguliers) | Dès le démarrage de l'activité | Mise en demeure, amende |
| Informer les personnes concernées | Oui | À chaque collecte | Amende, perte de confiance client |
| Gestion des droits (accès, effacement...) | Oui | Dans le mois suivant la demande | Amende, signalement CNIL |
| Sécurité des données | Oui | En continu | Amende jusqu'à 4 % du CA mondial |
| Notification violation de données | Oui | 72 heures après la découverte | Amende, réputation |
Construire son registre des activités de traitement
Le registre des traitements est le document central de la conformité RGPD. Il recense tous les traitements de données personnelles réalisés par votre organisation : gestion des contacts clients, gestion de la paie, envois de newsletters, suivi des leads dans le CRM, gestion des candidatures de recrutement, vidéosurveillance. Pour chaque traitement, le registre doit mentionner : la finalité du traitement (pourquoi vous collectez ces données), les catégories de données traitées, les personnes concernées, la base légale (consentement, contrat, obligation légale, intérêt légitime), les destinataires des données, la durée de conservation, et les mesures de sécurité mises en place.
La CNIL met à disposition un modèle de registre téléchargeable gratuitement sur son site, adapté aux PME. Ce registre n'a pas à être communiqué spontanément mais doit être disponible en cas de contrôle. Il est aussi l'outil de pilotage de votre conformité : une fois le registre construit, vous avez une vision complète de vos traitements et pouvez identifier ceux qui nécessitent une action corrective (consentement manquant, durée de conservation excessive, transfert vers un pays tiers non encadré).
- Cartographiez tous vos traitements de données
Faites le tour de vos logiciels, de vos tableurs, de vos dossiers physiques et de vos formulaires en ligne. Identifiez toutes les situations où vous collectez et utilisez des données personnelles. Impliquez toutes les fonctions : RH, commercial, marketing, comptabilité. - Identifiez la base légale de chaque traitement
Chaque traitement doit reposer sur une base légale parmi les six prévues par le RGPD. Pour les clients : en général le contrat ou l'intérêt légitime. Pour la newsletter : le consentement explicite. Pour la paie : l'obligation légale. Un traitement sans base légale identifiée doit être soit suspendu soit légitimé. - Vérifiez vos mentions d'information
Chaque formulaire de collecte (contact, inscription newsletter, candidature, commande) doit comporter une mention d'information claire sur l'identité du responsable du traitement, la finalité, les droits de la personne et la durée de conservation. Ces mentions doivent être rédigées en langage clair, pas en juridique incompréhensible. - Mettez en place une procédure de gestion des droits
Désignez une personne ou une adresse email dédiée pour recevoir les demandes d'exercice des droits (accès, rectification, effacement, portabilité). Définissez un processus pour y répondre dans le délai légal d'un mois (renouvelable une fois pour les demandes complexes). - Évaluez et renforcez la sécurité des données
Auditez les accès aux données sensibles (qui peut accéder à quoi ?), vérifiez la solidité de vos mots de passe et l'existence d'une authentification à deux facteurs pour les accès critiques, assurez-vous que vos sauvegardes sont chiffrées et stockées de façon sécurisée.
Si votre entreprise dépasse 250 salariés, ou si elle réalise des traitements à grande échelle ou des traitements de données sensibles, la désignation d'un Délégué à la Protection des Données (DPO) est obligatoire. En dessous de ces seuils, la désignation est facultative mais fortement recommandée si votre activité implique des traitements nombreux ou sensibles. Le DPO peut être un salarié ou un prestataire externe (DPO mutualisé), ce qui est une option adaptée aux PME qui n'ont pas les ressources pour un DPO à temps plein.
La gestion des cookies et des outils de tracking
La gestion des cookies est l'un des points les plus visibles de la conformité RGPD et l'un de ceux qui font l'objet du plus grand nombre de contrôles par la CNIL. Depuis les nouvelles lignes directrices de 2020, les cookies non essentiels (tracking publicitaire, analytics, réseaux sociaux) ne peuvent être déposés qu'avec le consentement actif et éclairé de l'internaute. Cela signifie qu'un bandeau de cookies conforme doit permettre de refuser aussi facilement qu'accepter, sans que le refus nécessite plus de clics que l'acceptation.
Des solutions de gestion du consentement (CMP pour Consent Management Platform) comme Axeptio, Didomi ou OneTrust simplifient la mise en conformité du bandeau cookies et documentent les consentements collectés. Pour les petits sites, la CNIL propose également un outil de gestion du consentement gratuit. L'essentiel est que les analytics (Google Analytics, Matomo ou équivalent) ne déposent leurs cookies qu'après le consentement explicite de l'utilisateur, et que cette gestion soit documentée.
Réagir à une violation de données personnelles
Une violation de données (fuite, piratage, perte d'un ordinateur non chiffré, envoi d'email à la mauvaise liste) doit faire l'objet d'une notification à la CNIL dans les 72 heures suivant la découverte de l'incident, si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. Cette notification doit décrire la nature de la violation, les catégories et le nombre de personnes concernées, les conséquences probables et les mesures prises ou envisagées. Si la violation est susceptible d'engendrer un risque élevé pour les personnes, celles-ci doivent également être informées directement.
Pour préparer cette réaction, définissez à l'avance un "plan de réponse aux incidents de sécurité" : qui prévient qui, comment qualifier la violation, qui est responsable de la notification à la CNIL, comment informer les personnes concernées. Ce plan ne nécessite pas d'être complexe : une page suffira pour une PME. Mais l'avoir rédigé et connu par les personnes clés fait toute la différence dans les 72 heures critiques suivant la découverte d'une violation.
Checklist de base pour la conformité RGPD :
Vos questions sur le RGPD en entreprise
Les petites entreprises de moins de 10 salariés sont-elles vraiment concernées par le RGPD ?
Oui, toute organisation qui traite des données personnelles est soumise au RGPD, quelle que soit sa taille. La micro-entreprise qui envoie une newsletter à ses clients, le prestataire de services qui conserve les coordonnées de ses clients dans un tableur, le commerçant qui dispose d'un fichier client : tous traitent des données personnelles et ont des obligations. L'allégement pour les petites structures porte sur le registre des traitements (non obligatoire pour les entreprises de moins de 250 salariés dont les traitements ne sont pas réguliers ou ne portent pas sur des données sensibles) mais pas sur les autres obligations de fond.
Qu'est-ce que l'intérêt légitime comme base légale RGPD ?
L'intérêt légitime est une base légale qui permet de traiter des données personnelles sans consentement explicite, à condition que l'intérêt poursuivi par l'entreprise soit réel et proportionné aux droits des personnes concernées. Il est souvent utilisé pour la prospection B2B (contact professionnel d'une personne dans le cadre de ses fonctions), la sécurité des systèmes informatiques, ou l'envoi d'emails de re-marketing à des clients existants. L'intérêt légitime ne s'applique pas aux données sensibles et ne peut pas prévaloir sur les droits fondamentaux des personnes concernées. Il doit être évalué au cas par cas et documenté dans le registre des traitements.
Que risque-t-on concrètement en cas de non-conformité RGPD ?
Le RGPD prévoit deux niveaux de sanctions. Le premier niveau peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel pour des manquements aux obligations de base (registre, sécurité, notification). Le second niveau peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour des violations des principes fondamentaux (base légale, droits des personnes, transferts illicites). En pratique, la CNIL commence souvent par des mises en demeure et des avertissements avant de prononcer des sanctions financières, sauf en cas de violation grave ou de mauvaise volonté manifeste.
La conformité RGPD est un processus continu, pas un projet ponctuel. Une bonne organisation et une sensibilisation régulière de vos équipes vous permettront de maintenir un niveau de conformité solide sans y consacrer des ressources disproportionnées.
Écrit par Camille Vasseur
Rédactrice, pilotage et gestion d'entreprise
Camille suit au quotidien les sujets de gestion et de structuration d'entreprise pour le Guide, avec une attention particulière portée aux TPE et PME.
