RGPD dans une TPE : le minimum vital

Le règlement européen sur la protection des données a la réputation d'un chantier réservé aux grandes organisations. C'est une erreur d'appréciation à double titre : il s'applique dès le premier client enregistré, et la conformité d'une petite structure tient en quelques documents et quelques réflexes, pas en un projet de transformation.

Ce qui est concerné, et c'est plus large qu'on ne croit

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Un nom, une adresse électronique professionnelle nominative, un numéro de téléphone, une adresse de livraison, un identifiant de connexion, une photo, une plaque d'immatriculation.

Une entreprise de cinq personnes traite donc typiquement : un fichier clients, un fichier prospects, des données de salariés et de candidats, des contacts fournisseurs, éventuellement des images de vidéosurveillance et des journaux de connexion à son site.

Certaines catégories appellent une vigilance renforcée : données de santé, opinions, appartenance syndicale, données biométriques. Leur traitement est en principe interdit, sauf exceptions encadrées. Une entreprise ordinaire n'en manipule pas, sauf sur un point souvent oublié : les arrêts de travail transmis par les salariés.

Le registre des traitements, la pièce maîtresse

Le registre est le seul document formellement obligatoire dans la plupart des situations. Il recense, traitement par traitement, ce que fait l'entreprise des données qu'elle détient.

Pour chaque traitement, il indique la finalité, les catégories de personnes et de données concernées, les destinataires, la durée de conservation, et les mesures de sécurité. Une entreprise de cinq personnes a rarement plus de six ou sept traitements à décrire.

• Recenser les fichiers existants, y compris les tableurs et les carnets d'adresses des messageries.
• Écrire pour chacun sa finalité en une phrase concrète, du type « gérer la facturation des clients ».
• Identifier la base légale : contrat, obligation légale, intérêt légitime, ou consentement.
• Fixer une durée de conservation chiffrée, et non « le temps nécessaire ».
• Lister les destinataires, y compris les prestataires qui accèdent aux données.
• Décrire les mesures de sécurité réellement en place, sans les embellir.
• Dater le registre et le relire une fois par an.

Les durées de conservation, le point le plus souvent manqué

Conserver indéfiniment est le manquement le plus fréquent et le plus simple à corriger. Chaque catégorie de données doit avoir une durée, alignée sur la finalité et sur les obligations légales.

Quelques repères pratiques : les données d'un prospect qui n'a pas répondu se conservent quelques années après le dernier contact, celles d'un client actif pendant la durée de la relation puis pendant la période de prescription applicable, les pièces comptables selon les durées légales de conservation qui leur sont propres, les candidatures non retenues pendant une période courte sauf accord du candidat.

Ces durées se distinguent de l'archivage comptable, qui obéit à sa propre logique. Une facture se conserve dix ans parce que c'est une pièce comptable ; le fichier de prospection qui contient les mêmes personnes n'a pas vocation à vivre aussi longtemps.

Informer les personnes, et savoir leur répondre

Toute personne dont les données sont collectées doit être informée, au moment de la collecte, de l'identité du responsable, de la finalité, de la base légale, de la durée de conservation et de ses droits. C'est le rôle des mentions d'information, sur un formulaire de contact, un devis, un contrat de travail.

Les droits à garantir sont l'accès, la rectification, l'effacement, l'opposition, la limitation et la portabilité. Le délai de réponse est d'un mois, prolongeable dans certains cas. En pratique, une petite structure reçoit très peu de demandes, mais celle qui arrive doit trouver quelqu'un qui sait quoi faire.

La prospection commerciale par voie électronique vers des particuliers suppose un consentement préalable. Vers des professionnels, l'information et le droit d'opposition suffisent, à condition que le message concerne l'activité professionnelle du destinataire.

Sous-traitants et sécurité

Un prestataire qui traite des données pour le compte de l'entreprise est un sous-traitant au sens du règlement : hébergeur, éditeur de logiciel en ligne, prestataire de paie, plateforme de messagerie. Le contrat qui le lie doit comporter des clauses spécifiques sur la sécurité, la confidentialité, la localisation des données et le sort de celles-ci en fin de contrat.

Ces clauses figurent en général dans les conditions générales des prestataires sérieux, sous un intitulé dédié. Les lire une fois suffit ; ne jamais les avoir lues expose à découvrir que les données sont hébergées hors de l'Union sans encadrement.

Côté sécurité, les mesures attendues d'une petite structure sont proportionnées : mots de passe robustes et non partagés, authentification à deux facteurs sur les outils critiques, mises à jour appliquées, sauvegardes testées, accès limités à ce dont chacun a besoin, chiffrement des postes portables.

En cas de violation de données, vol de matériel, intrusion, envoi massif erroné, une notification à l'autorité de contrôle s'impose dans les soixante-douze heures lorsque la violation présente un risque pour les personnes. Savoir à l'avance qui déclenche cette procédure fait gagner les heures qui comptent.