RGPD : ce qu'une entreprise doit faire, dans l'ordre

La plupart des dirigeants que je reçois ont entendu parler du RGPD par un commercial, un prestataire ou une relance d'assureur. Ils en retiennent une menace d'amende et un devis. C'est la plus mauvaise porte d'entrée : la mise en conformité commence par un inventaire que vous êtes le seul à pouvoir faire, et qui coûte une demi-journée.

À qui il s'applique, et depuis quand

Le règlement (UE) 2016/679 est applicable depuis le 25 mai 2018. Il vaut directement, sans loi de transposition, et il s'impose à toute organisation qui traite des données concernant des personnes : société, association, profession libérale, indépendant. Il n'existe aucun seuil de chiffre d'affaires ni d'effectif en dessous duquel on en serait exempté.

La difficulté n'est pas de savoir si vous traitez des données, c'est de voir que vous en traitez partout. Le fichier clients, la paie, les CV reçus et jamais effacés, la caméra du dépôt, les badges d'accès, le formulaire de contact du site, la boîte mail de l'entreprise : chacun de ces ensembles est un traitement au sens du règlement.

Les six obligations qui concernent toutes les entreprises

Le règlement compte quatre-vingt-dix-neuf articles. Dans une entreprise qui ne fait ni publicité ciblée ni profilage, six obligations couvrent l'essentiel du risque.

• Une finalité et une base légale par traitement : pourquoi vous collectez, et à quel titre (contrat, obligation légale, intérêt légitime, consentement) — articles 5 et 6
• L'information des personnes au moment de la collecte, en termes compréhensibles — article 13
• La minimisation et la durée : ne collecter que l'utile, et fixer une durée au bout de laquelle on efface — article 5
• La sécurité, proportionnée au risque : mots de passe, droits d'accès, sauvegardes, chiffrement des portables — article 32
• Le registre des traitements, qui est la pièce que la CNIL demande en premier — article 30
• L'encadrement des sous-traitants par un contrat qui contient les clauses imposées — article 28

Les quatre documents que vous devez pouvoir montrer demain matin

La conformité ne se démontre pas par l'intention. L'article 5.2 pose le principe de responsabilité : c'est à vous de prouver que vous respectez le règlement. En pratique, quatre documents portent cette preuve.

• Le registre des traitements : un tableau qui liste, pour chaque fichier, la finalité, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité
• Les mentions d'information : la politique de confidentialité du site, mais aussi la mention au bas du formulaire de contact et celle remise au salarié à l'embauche
• Les contrats de sous-traitance : votre éditeur de paie, votre hébergeur, votre prestataire d'emailing traitent vos données pour vous, et l'article 28 exige un contrat qui le dit
• La procédure de violation de données et le registre qui va avec : qui prévient qui, dans quel délai, et la trace de chaque incident, même non notifié

Ce qui change selon la taille, et ce qui ne change pas

L'article 30.5 dispense de registre les organisations de moins de 250 salariés. C'est l'exemption la plus citée et la moins applicable : elle tombe dès que le traitement n'est pas occasionnel, dès qu'il présente un risque pour les droits des personnes, ou dès qu'il porte sur des données sensibles.

La paie tourne tous les mois et le fichier clients vit en permanence : ni l'un ni l'autre n'est occasionnel. Dans une entreprise de dix personnes comme dans une de mille, le registre est donc dû. Ce qui change, c'est sa longueur : une PME tient le sien sur une feuille de calcul de quinze lignes.

Les amendes : les plafonds, et ce qui tombe vraiment

L'article 83 fixe deux plafonds : dix millions d'euros ou 2 % du chiffre d'affaires mondial pour les manquements de forme, vingt millions ou 4 % pour les manquements aux principes et aux droits des personnes. C'est le montant que la presse retient, et il vise des groupes.

La voie ordinaire pour une PME est tout autre : c'est la procédure de sanction simplifiée de l'article 22-1 de la loi du 6 janvier 1978. L'amende y est plafonnée à 20 000 euros, portée à 100 000 euros lorsque le chiffre d'affaires mondial dépasse cinquante millions, et l'astreinte à 100 euros par jour de retard, 500 au-delà du même seuil. La décision n'est pas rendue publique.

Ce qui coûte le plus cher n'est d'ailleurs pas l'amende. C'est la mise en demeure publique, le client grand compte qui exige un audit avant de signer, et le temps passé à produire en urgence des documents qu'on aurait écrits en deux jours.

Par quoi commencer si vous n'avez rien fait

Par l'inventaire, et par rien d'autre. Ouvrez la liste de vos outils : logiciel de paie, comptabilité, CRM, messagerie, site, caméras, contrôle d'accès, prestataires. Pour chacun, trois questions : quelles personnes y figurent, pourquoi, et depuis combien de temps.

Cet inventaire est le registre à l'état brut. Il révèle à lui seul les deux anomalies les plus fréquentes : des données conservées sans limite, et des prestataires qui accèdent à tout sans contrat le prévoyant.

Le calendrier d'une mise en conformité

• Semaine 1 : l'inventaire des outils et des fichiers, mené en interne
• Semaines 2 et 3 : le registre des traitements, et les durées de conservation décidées fichier par fichier
• Mois 2 : les mentions d'information, et la revue des contrats de sous-traitance
• Mois 3 : la sécurité (droits d'accès, mots de passe, sauvegardes) et la procédure de violation
• Puis une revue par an, et à chaque nouvel outil : c'est le moment où le travail se perd ou se tient