Un client m'appelle en panique un mardi matin. Sa commerciale venait de coller, dans un fichier Excel partagé sur un Drive ouvert à tous, la liste de 400 prospects avec nom, téléphone, adresse et — le détail qui tue — des notes du genre « a fait faillite, insister quand même ». Il voulait savoir s'il risquait « vraiment » quelque chose sous le RGPD. Il risquait. Et pas qu'un peu.
La protection des données personnelles en entreprise n'est pas un dossier qu'on sort une fois par an pour rassurer un investisseur. C'est un régime de responsabilité qui vous suit partout, y compris dans les fichiers que vous avez oubliés. Le RGPD, texte européen, s'impose à vous dès la première donnée collectée sur un client, un salarié ou une adresse IP. Et contrairement à une idée reçue, la CNIL ne sanctionne pas seulement les géants de la tech.
Points clés à retenir
- Le RGPD s'applique dès la première donnée personnelle collectée, quelle que soit la taille de l'entreprise.
- Vous devez pouvoir justifier chaque traitement par une base légale identifiée.
- Un registre des traitements tenu sérieusement vous évite 80 % des mauvaises surprises.
- Une violation de données doit être notifiée à la CNIL sous 72 heures quand elle présente un risque.
- Les sous-traitants ne vous déchargent de rien : vous restez responsable.
RGPD en entreprise : ce qui change vraiment dans votre quotidien
La plupart des dirigeants que je croise savent que le RGPD existe. Beaucoup moins savent ce qu'il leur demande concrètement le lundi matin. La confusion classique : « on a mis un bandeau cookies sur le site, donc on est bon ». Ce bandeau ne couvre qu'une infime partie de vos obligations, et encore, seulement s'il fonctionne correctement.
Le règlement pose un principe simple à énoncer, exigeant à appliquer : toute donnée personnelle que vous traitez doit reposer sur une base légale claire, être collectée pour un objectif précis, et n'être conservée que le temps nécessaire. Pas de « on garde tout au cas où ».
Quelles données sont réellement concernées ?
Tout ce qui identifie une personne directement ou indirectement. Un nom, évidemment, mais aussi une adresse e-mail professionnelle, un numéro de badge, une plaque d'immatriculation dans le parking, une vidéo de vidéosurveillance, voire un identifiant de connexion. Les données des salariés comptent autant que celles des clients. J'ai déjà vu une PME surveiller les horaires d'arrivée via le logiciel de pointage sans avoir jamais informé l'équipe : traitement de données RH, base légale bancale, salariés non informés. Trois problèmes en un.
Qui est responsable, et de quoi ?
Vous, en tant que dirigeant ou structure, êtes le responsable de traitement pour vos propres fichiers. Vos prestataires — l'agence qui gère votre newsletter, l'hébergeur, le cabinet comptable — sont des sous-traitants. Un contrat doit formaliser cette relation. Et non, signer un devis avec une mention « conforme RGPD » n'a jamais suffi à me convaincre : il faut un document qui précise quelles données circulent, pour quoi, et pendant combien de temps.
La checklist de mise en conformité que personne ne vous donne
Voici l'ordre que j'applique quand je reprends la conformité d'une entreprise. Il n'est pas parfait, mais il évite de courir dans tous les sens.
- Inventorier les traitements. Un tableau, une ligne par finalité : paie, prospection, recrutement, vidéosurveillance, gestion des accès.
- Pour chaque ligne, identifier la base légale : contrat, obligation légale, intérêt légitime, consentement.
- Noter la durée de conservation et la personne qui y a accès.
- Vérifier les contrats avec les sous-traitants.
- Rédiger une procédure de gestion des violations de données.
- Former les équipes, même brièvement.
Ce registre, c'est votre meilleure assurance. Le jour où un contrôle tombe, c'est la première chose qu'on vous demandera. Une entreprise sans registre, c'est une entreprise qui devra improviser devant un agent. Mauvaise posture.
Un cas concret, chiffré
Sur un projet de refonte, j'ai repris une base de prospection de 12 000 contacts dont environ un tiers n'avait plus donné signe de vie depuis plus de quatre ans. On a segmenté, purgé les contacts inactifs au-delà de la durée prévue, et documenté la décision. Résultat : une base plus petite mais défendable, et une délivrabilité e-mail qui est remontée en flèche la campagne suivante. La conformité a un effet secondaire agréable : elle nettoie vos fichiers.
Quand faut-il réaliser une analyse d'impact (DPIA) ?
L'analyse d'impact est obligatoire pour les traitements à risque élevé : profilage à grande échelle, surveillance systématique, traitement de données sensibles (santé, opinions, données biométriques). Une PME qui installe de la reconnaissance faciale à l'entrée, par exemple, n'y échappe pas. Pour une simple gestion de paie, vous pouvez vous en passer — tant que vous documentez pourquoi.
Que faire en cas de violation de données ?
Vous notifiez à la CNIL sous 72 heures si la violation présente un risque pour les personnes concernées. Vous informez aussi les personnes touchées quand le risque est élevé. Et vous documentez tout, même les incidents que vous décidez de ne pas notifier. J'ai vu une entreprise perdre un temps précieux à chercher « qui était responsable » au lieu de sécuriser l'accès fuité. L'ordre des priorités compte : on colmate d'abord, on enquête ensuite.
Les sanctions ne sont pas théoriques
Oui, les montants maximaux se chiffrent en dizaines de millions d'euros ou en pourcentage du chiffre d'affaires mondial. Mais la vraie question n'est pas là. La majorité des sanctions prononcées visent des manquements basiques : absence de base légale, information insuffisante, conservation excessive. Des entreprises de taille moyenne, pas seulement des mastodontes.
| Obligation | Ce qu'on attend de vous | Le piège fréquent |
|---|---|---|
| Registre des traitements | Un document à jour, par finalité | Le tenir une fois puis l'oublier |
| Base légale | Justifier chaque traitement | Tout baser sur le consentement par facilité |
| Durées de conservation | Purger au-delà du nécessaire | « On garde tout, on ne sait jamais » |
| Sous-traitants | Contrats formalisés | Se contenter d'une mention sur le devis |
| Violation de données | Notification sous 72 h | Ne pas documenter les incidents non notifiés |
Au-delà de l'amende, il y a le coût invisible : la confiance. Un client qui apprend que ses données ont fuité à cause d'un tableur négligé ne revient pas forcément.
Les questions qu'on me pose le plus souvent
Le RGPD s'applique-t-il aux petites entreprises ?
Oui, sans seuil de taille. Une entreprise de trois salariés traitant des données de clients est soumise aux mêmes principes qu'un grand groupe. Ce qui varie, c'est la proportionnalité des mesures : on n'attend pas d'une TPE qu'elle nomme un délégué à la protection des données à temps plein, mais qu'elle tienne son registre et informe correctement les personnes.
Quel est le rôle de la CNIL ?
La CNIL est l'autorité française de contrôle. Elle accompagne — via des fiches pratiques et des guides — mais elle sanctionne aussi. Elle peut enquêter, demander des comptes, prononcer des mises en demeure et des amendes. Consultez ses ressources : elles sont souvent plus claires que bien des cabinets de conseil, et gratuites.
Suffit-il de recueillir le consentement des personnes ?
Non. Le consentement n'est qu'une des six bases légales possibles. Pour la paie d'un salarié, c'est une obligation légale, pas un consentement. Pour une prospection commerciale auprès de professionnels, l'intérêt légitime peut suffire sous conditions. Tout ramener au consentement crée de la complexité inutile et fragilise vos traitements.
Par où commencer demain matin
Oubliez la grande politique de conformité de 40 pages que personne ne lira. Prenez un tableau, listez vos cinq traitements les plus évidents — paie, clients, prospects, candidats, accès aux locaux — et notez pour chacun la base légale et la durée de conservation. C'est un début modeste, mais réel.
La conformité RGPD ressemble moins à un projet qu'à une hygiène. On ne « termine » pas sa conformité ; on l'entretient. Et la question qui reste, à mon sens, est celle-ci : si un client vous demandait aujourd'hui de lui montrer exactement quelles données vous détenez sur lui, sauriez-vous répondre en moins d'une heure ? Si la réponse est non, le travail commence là.
