Que couvre le RGPD, et qui est concerné dans une PME ?

Une notion large de donnée à caractère personnel et de traitement

Le RGPD (règlement UE 2016/679 du 27 avril 2016, entré en application le 25 mai 2018) définit une donnée à caractère personnel comme “toute information se rapportant à une personne physique identifiée ou identifiable”, directe (nom, prénom) ou indirecte (numéro de téléphone, adresse IP, données de géolocalisation). Le traitement, lui, couvre toute opération réalisée sur ces données : collecte, enregistrement, conservation, modification, consultation ou communication.

Dans une PME, ce périmètre dépasse largement le seul service informatique :

● le fichier clients et prospects tenu par l'équipe commerciale ou marketing ;

● les dossiers du personnel gérés par les ressources humaines (contrats, paie, arrêts maladie) ;

● le fichier fournisseurs, dès lors qu'il identifie des personnes physiques ;

● les outils de vidéosurveillance, de badges d'accès ou de géolocalisation des véhicules professionnels.

Un champ d'application qui ne connaît pas de seuil de taille

Le RGPD s'applique à toute structure, privée ou publique, qui collecte et/ou traite des données personnelles sur le territoire de l'Union européenne, ainsi qu'aux sous-traitants qui agissent pour son compte (hébergeurs, éditeurs de logiciels, prestataires marketing). Il s'applique également aux entreprises établies hors de l'UE dès lors que leur activité cible des résidents européens. Contrairement à une idée répandue chez de nombreux dirigeants de TPE/PME, aucune exemption n'existe en dessous d'un certain effectif ou d'un certain chiffre d'affaires.

Quels principes et quelles obligations le dirigeant doit-il faire respecter ?

Les six principes fondamentaux de l'article 5 du RGPD

L'article 5 du RGPD énonce six principes cumulatifs qui gouvernent tout traitement de données à caractère personnel, quel que soit le service qui le met en œuvre :

● licéité, loyauté et transparence du traitement à l'égard de la personne concernée ;

● limitation des finalités : les données doivent être collectées pour des objectifs déterminés, explicites et légitimes ;

● minimisation des données : ne collecter que ce qui est adéquat, pertinent et nécessaire ;

● exactitude des données ;

● limitation de la conservation à la durée nécessaire aux finalités poursuivies ;

● intégrité et confidentialité, c'est-à-dire la sécurité des données.

Le principe de responsabilité : pouvoir démontrer sa conformité

Le même article 5 consacre un principe de responsabilité, dit « accountability » : l'entreprise doit être en mesure de démontrer, à tout moment et face à la CNIL, qu'elle respecte ces six principes. Concrètement, la CNIL recommande un socle d'actions essentielles : tenir un registre des traitements pour documenter l'ensemble des traitements réalisés, minimiser la collecte et prévoir des mécanismes d'effacement ou d'archivage, informer les personnes dès la collecte et faciliter l'exercice de leurs droits, et sécuriser les données par des mesures techniques (mots de passe robustes, sauvegardes, antivirus) et organisationnelles (formation du personnel, contrôle des accès).

Le regard du DAF

La conformité RGPD échoue souvent pour une raison simple : elle est traitée comme un projet informatique ponctuel, porté par un seul service, plutôt que comme un sujet de gouvernance transverse porté par la direction.

Un dirigeant qui structure sa démarche RGPD a tout intérêt à désigner un référent interne clairement identifié, même sans obligation de nommer un délégué à la protection des données (DPO), et à faire de ce référent un point de passage systématique pour tout nouvel outil ou prestataire qui traite des données personnelles. C'est aussi un sujet à réexaminer périodiquement, au même titre qu'un audit financier : les traitements évoluent, les prestataires changent, et un registre non mis à jour perd rapidement toute force probante.

Quels droits pour les personnes concernées, et quelles sanctions en cas de manquement ?

Droits que votre entreprise doit être en mesure d'honorer

Le RGPD reconnaît aux personnes concernées (clients, prospects, salariés) plusieurs droits que l'entreprise doit pouvoir satisfaire, en général dans un délai d'un mois :

● le droit à l'information, dès la collecte des données ;

● le droit d'accès, pour obtenir la confirmation qu'une donnée est traitée et en recevoir une copie ;

● le droit de rectification des données inexactes ou incomplètes ;

● le droit à l'effacement (« droit à l'oubli »), dans des cas limitativement énumérés ;

● le droit à la limitation du traitement, notamment en cas de contestation en cours ;

● le droit à la portabilité des données fournies dans le cadre d'un contrat ou d'un consentement ;

● le droit d'opposition, sans condition en matière de prospection commerciale ;

● le droit de ne pas faire l'objet d'une décision entièrement automatisée produisant des effets juridiques, y compris le profilage.

Sanctions et points de vigilance pour le dirigeant

En cas de manquement, l'entreprise s'expose à des sanctions pénales, civiles et administratives. Les sanctions administratives, prononcées par la CNIL, vont du simple rappel à l'ordre à l'amende, en passant par l'injonction de mise en conformité ou la limitation du traitement. Le montant de l'amende peut atteindre 10 millions d'euros, porté à 2 % du chiffre d'affaires annuel mondial ; pour les manquements les plus graves, il passe à 20 millions d'euros, ou 4 % de ce même chiffre d'affaires, selon le montant le plus élevé. Toute personne ayant subi un préjudice peut, en complément, demander réparation devant la CNIL ou par une action de groupe.

Pour limiter ce risque, quelques réflexes s'imposent : tenir à jour le registre des traitements relatifs aux clients, prospects, fournisseurs et collaborateurs ; respecter scrupuleusement les délais de réponse aux demandes d'exercice de droits et vérifier l'identité du demandeur ; s'assurer que les contrats de sous-traitance intègrent les garanties requises par le RGPD ; et appliquer les principes de minimisation et de limitation de la conservation à l'ensemble des données traitées.

Le piège à éviter

Répondre, par précaution, à une offre commerciale de « mise en conformité RGPD » reçue par courrier ou par e-mail, sans en vérifier le sérieux. La CNIL et la DGCCRF alertent régulièrement les professionnels sur des pratiques abusives dans ce domaine, qui jouent précisément sur la crainte des sanctions pour vendre des prestations inutiles, voire des services frauduleux. Avant tout engagement, il est préférable de solliciter votre expert-comptable, votre DAF ou de consulter directement les guides gratuits de la CNIL.