Le RGPD en entreprise : principes et champ d'application
Le règlement général sur la protection des données (RGPD), en vigueur depuis mai 2018, encadre la collecte et le traitement des données personnelles par toute organisation opérant en Europe, quelle que soit sa taille. Contrairement à une idée répandue, il s'applique aussi bien aux très petites entreprises et aux indépendants qu'aux grands groupes, dès lors qu'ils traitent des données personnelles — celles de leurs clients, de leurs prospects ou de leurs salariés, ce qui concerne en pratique la quasi-totalité des entreprises françaises. Ses grands principes reposent sur la minimisation (ne collecter que les données réellement nécessaires), la finalité (utiliser les données uniquement pour l'objectif annoncé lors de leur collecte), la durée de conservation limitée, et la sécurisation appropriée de ces données contre les accès non autorisés. Le non-respect de ces obligations expose l'entreprise à des sanctions de la CNIL, l'autorité française de contrôle, mais aussi à un risque réputationnel réel auprès de clients de plus en plus attentifs à la protection de leurs données personnelles.
En savoir plus : les obligations RGPD de l'entreprise →
Délégué à la protection des données (DPO)
Le délégué à la protection des données, ou DPO (Data Protection Officer), est la personne chargée de veiller au respect du RGPD au sein de l'organisation, de conseiller la direction, et de faire l'interface avec la CNIL en cas de contrôle ou de plainte. Sa désignation est obligatoire pour certaines catégories d'entreprises — notamment celles dont l'activité de base implique un suivi régulier et systématique des personnes à grande échelle, ou le traitement à grande échelle de données sensibles — mais reste une bonne pratique recommandée pour toute entreprise, même lorsqu'elle n'y est pas légalement tenue. Une PME n'a pas nécessairement besoin d'un DPO à temps plein en interne : le DPO externalisé, mutualisé entre plusieurs entreprises ou fourni par un prestataire spécialisé, permet d'accéder à cette expertise réglementaire sans le coût d'un poste dédié, une solution particulièrement adaptée aux structures de taille moyenne qui n'ont pas le volume d'activité justifiant un poste interne à plein temps.
En savoir plus : le délégué à la protection des données →
Registre des traitements
Le registre des traitements est le document central de la conformité RGPD d'une entreprise : il recense, pour chaque catégorie de données personnelles traitée (clients, prospects, salariés, candidats), la finalité du traitement, les catégories de données concernées, les destinataires éventuels, la durée de conservation et les mesures de sécurité associées. Sa tenue est obligatoire pour la quasi-totalité des entreprises et constitue le premier document demandé par la CNIL en cas de contrôle. Au-delà de l'obligation légale, sa construction est un exercice utile en lui-même : elle oblige l'entreprise à cartographier précisément où et comment circulent les données personnelles en son sein, ce qui révèle souvent des traitements oubliés ou des durées de conservation excessives, jamais remises en cause faute d'inventaire formalisé. Pour les traitements présentant un risque élevé pour les personnes concernées, une analyse d'impact relative à la protection des données (AIPD) doit compléter le registre, avec une évaluation plus poussée des risques et des mesures de mitigation associées.
En savoir plus : le registre des traitements →
Droits des personnes concernées
Le RGPD reconnaît à toute personne dont les données sont traitées un ensemble de droits opposables à l'entreprise : droit d'accès à ses propres données, droit de rectification en cas d'erreur, droit à l'effacement (dit « droit à l'oubli »), droit à la portabilité de ses données vers un autre prestataire, et droit d'opposition à certains traitements, notamment à des fins de prospection commerciale. Une entreprise doit être en capacité de répondre à ces demandes dans un délai encadré, généralement un mois, ce qui suppose de savoir concrètement où sont stockées les données concernées et comment les extraire ou les supprimer sans affecter le reste du système d'information. En pratique, de nombreuses PME découvrent ces obligations au moment où elles reçoivent leur première demande d'un client ou d'un ancien salarié, sans procédure interne définie pour y répondre efficacement — une situation qui gagne à être anticipée plutôt que gérée dans l'urgence, sous peine de dépasser les délais légaux impartis.
En savoir plus : les droits des personnes concernées →
Violation de données
Une violation de données personnelles survient dès qu'un incident de sécurité entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération ou la divulgation non autorisée de données personnelles — un vol d'ordinateur portable non chiffré, une attaque par ransomware qui exfiltre des données clients, ou même un simple email envoyé au mauvais destinataire par erreur peuvent constituer une violation au sens du RGPD. Lorsque cette violation présente un risque pour les droits et libertés des personnes concernées, l'entreprise a l'obligation de la notifier à la CNIL dans un délai de 72 heures après en avoir eu connaissance, et le cas échéant d'informer directement les personnes concernées si le risque est élevé. Le non-respect de cette obligation de notification constitue en soi une infraction distincte, indépendamment de la gravité de la violation initiale, ce qui explique pourquoi la CNIL sanctionne parfois plus sévèrement une absence de notification qu'un incident de sécurité correctement déclaré et traité.
En savoir plus : la violation de données →
Sous-traitants et transferts internationaux
Une entreprise qui confie le traitement de données personnelles à un prestataire externe — hébergeur, éditeur de logiciel SaaS, agence marketing — reste responsable, au sens du RGPD, du respect de la réglementation par ce sous-traitant, ce qui impose de formaliser cette relation par un contrat spécifique précisant les garanties de sécurité et les obligations de chaque partie. Cette vigilance devient particulièrement sensible lorsque le sous-traitant ou l'outil utilisé héberge des données hors de l'Union européenne, notamment aux États-Unis, où le cadre juridique de protection des données diffère du RGPD et impose des garanties supplémentaires (clauses contractuelles types, mécanismes de certification) pour encadrer légalement ces transferts internationaux. De nombreuses PME utilisent, souvent sans le savoir précisément, des outils cloud américains qui impliquent ce type de transfert — ce qui justifie un inventaire régulier des prestataires et de la localisation réelle des données de l'entreprise, au-delà des seuls outils choisis consciemment pour leurs fonctionnalités.
En savoir plus : sous-traitants et transferts internationaux →
Accompagnement à la mise en conformité
La mise en conformité RGPD d'une entreprise qui n'a jamais formalisé sa démarche commence généralement par un audit de l'existant — cartographie des traitements, des outils utilisés et des flux de données — suivi de la constitution du registre des traitements, de la rédaction des mentions d'information obligatoires (site web, contrats, formulaires) et de la mise en place de procédures internes pour répondre aux demandes des personnes concernées. Le coût de cet accompagnement varie fortement selon la taille de l'entreprise et la complexité de ses traitements de données, d'un accompagnement ponctuel pour une TPE aux usages simples à un projet plus structuré pour une entreprise manipulant des données sensibles ou opérant à l'international. Au-delà de la mise en conformité initiale, le maintien de cette conformité dans la durée suppose une revue régulière du registre des traitements à chaque évolution significative de l'activité ou des outils utilisés, faute de quoi la conformité obtenue à un instant donné se dégrade progressivement sans que l'entreprise en ait toujours conscience.
En savoir plus : l'accompagnement à la mise en conformité →
Voir aussi
La conformité RGPD s'appuie sur une bonne sécurité informatique, concerne directement l'archivage des messageries et outils collaboratifs, la gestion de la mobilité, et s'articule étroitement avec la gestion des identités et des accès.