Les obligations RGPD concrètes de votre entreprise

Le RGPD, présenté dans son ensemble sur notre pilier RGPD & conformité des données, se traduit par des obligations très concrètes au quotidien. Cette page détaille les principales situations rencontrées par une entreprise.

Les obligations concrètes pour être conforme

Être conforme au RGPD suppose, en pratique, de tenir un registre des traitements à jour, d'informer clairement les personnes dont les données sont collectées (mentions légales, politique de confidentialité), de sécuriser ces données proportionnellement à leur sensibilité, et de pouvoir répondre aux demandes d'exercice de droits dans les délais impartis. Démarrer une mise en conformité quand rien n'a jamais été fait consiste généralement à cartographier d'abord les traitements existants, puis à traiter en priorité les risques les plus significatifs (données sensibles, gros volumes) avant les aspects plus formels, plutôt que de viser une conformité parfaite et immédiate sur tous les fronts simultanément.

Consentement, mentions légales et cookies

Un consentement explicite n'est pas systématiquement requis pour collecter des données clients ou prospects : la base légale peut aussi reposer sur l'exécution d'un contrat ou l'intérêt légitime de l'entreprise, selon la finalité du traitement. En revanche, l'usage de cookies et traceurs sur le site web de l'entreprise, dès lors qu'ils ne sont pas strictement nécessaires au fonctionnement du site, impose un recueil du consentement explicite du visiteur avant tout dépôt, avec une possibilité réelle de refuser aussi simple que d'accepter.

Vidéosurveillance et géolocalisation : cas particuliers

La vidéosurveillance en entreprise doit répondre à une finalité précise et proportionnée (sécurité des biens et des personnes), avec une information claire des salariés et visiteurs et une durée de conservation limitée des enregistrements — filmer en continu un poste de travail est généralement considéré comme disproportionné. La géolocalisation des véhicules d'entreprise est également encadrée : elle doit répondre à une finalité légitime (suivi d'activité, sécurité), être désactivable en dehors du temps de travail pour un usage mixte professionnel/personnel, et faire l'objet d'une information claire des salariés concernés.

Données RH et candidats

Les données des candidats à l'embauche, collectées via un CV ou un entretien, doivent être conservées pour une durée limitée et proportionnée (généralement deux ans maximum en l'absence de recrutement, sauf accord du candidat pour une conservation plus longue en vue de futures opportunités), puis supprimées ou anonymisées. Les données RH des salariés eux-mêmes suivent les mêmes grands principes du RGPD que les données clients : minimisation, finalité précise, durée de conservation limitée, et sécurisation adaptée à leur sensibilité.

Voir aussi

Cette page complète le pilier RGPD & conformité des données. Voir aussi la réglementation applicable à la vidéosurveillance pour aller plus loin sur ce sujet spécifique.