RGPD : le minimum réellement obligatoire pour une TPE

Sur le RGPD, une petite entreprise entend deux discours. Le premier vend de la peur, un audit et un accompagnement à quatre chiffres. Le second balaie le sujet d’un revers de main : « on n’est pas Google, personne ne viendra nous chercher ».

Les deux sont faux. Entre les deux, il existe une liste courte et vérifiable. La voici, dans l’ordre où il faut la traiter.

1. Le registre des traitements#

C’est le point de départ, et l’objection arrive immédiatement : « il y a une exemption pour les moins de deux cent cinquante salariés ».

Elle existe — c’est le paragraphe 5 de l’article 30 du règlement européen — et elle ne s’applique presque jamais. Elle tombe dès que les traitements ne sont pas occasionnels, ou qu’ils portent sur des données sensibles. Or la paie, la gestion des clients, les candidatures reçues et la prospection sont des traitements réguliers, par définition.

Le registre n’est pas un document administratif. C’est la seule vue d’ensemble de ce que votre entreprise fait des données des gens : quelles données, pour quoi faire, sur quelle base juridique, combien de temps, qui y a accès, et chez quels prestataires elles transitent.

Son intérêt réel est là : il révèle tous les autres manques. On le remplit honnêtement pendant deux heures, et on découvre trois durées de conservation qu’on n’a jamais fixées, deux prestataires avec lesquels rien n’a été signé, et une base de données de candidatures qui date de 2019.

La CNIL met à disposition un modèle simplifié destiné aux petites structures. Il suffit.

2. Les traceurs de votre site#

C’est le terrain le plus contrôlé, et le plus simple à corriger.

Si votre site ne dépose que des traceurs strictement nécessaires à son fonctionnement, vous n’avez pas à demander de consentement — et afficher un bandeau inutile n’est pas une précaution, c’est une maladresse qui dégrade l’expérience sans rien apporter.

Dès qu’un traceur non exempté est présent — mesure d’audience non conforme aux conditions d’exemption, vidéo intégrée, carte, bouton de réseau social, publicité —, alors :

• rien ne se charge avant le consentement, y compris les scripts qui « ne font que se préparer » ;
• refuser doit être aussi simple qu’accepter : deux boutons de même niveau, pas un lien discret en gris ;
• le choix doit pouvoir être modifié à tout moment, depuis le pied de page.

C’est exactement le principe que nous appliquons à nos propres réalisations, y compris pour une simple carte de localisation, qui n’est chargée qu’au clic de l’utilisateur.

3. L’information des personnes#

Partout où vous collectez, il faut dire, au moment de la collecte : qui vous êtes, pourquoi vous collectez, combien de temps vous conservez, à qui les données sont transmises, et comment exercer ses droits.

Cela vaut pour un formulaire de contact — oui, un simple formulaire de contact crée un traitement —, pour une inscription à une lettre d’information, pour un dépôt de candidature.

Deux phrases sous le formulaire, plus une page dédiée pour le détail. Ce qui compte est que l’information soit au moment de la collecte, pas seulement dans une page que personne n’ouvre.

4. Les contrats avec vos prestataires#

Chaque prestataire qui traite des données pour votre compte est un sous-traitant : l’hébergeur, l’agence qui maintient le site, l’outil de messagerie, le logiciel de facturation, la plateforme de prise de rendez-vous.

L’article 28 du règlement impose un contrat écrit encadrant ces traitements : mesures de sécurité, recours à d’autres sous-traitants, localisation, sort des données en fin de contrat. Les grands fournisseurs le proposent sous forme d’avenant standard, qu’il suffit d’accepter et de conserver. Les petites structures, elles, n’en ont souvent aucun — et c’est précisément avec elles qu’il faut le faire.

Ce document règle aussi une question très pratique : que deviennent vos données si le prestataire s’arrête. Nous y avons consacré un article entier.

5. La sécurité, au niveau attendu d’une TPE#

Personne n’attend d’une entreprise de six personnes qu’elle tienne le niveau d’une banque. On attend des mesures proportionnées, et elles sont connues :

• des mots de passe distincts, dans un gestionnaire, jamais dans un tableur partagé ;
• l’authentification à deux facteurs sur la messagerie, l’hébergement et le nom de domaine ;
• des comptes nominatifs, supprimés au départ d’un collaborateur ;
• des mises à jour appliquées ;
• des sauvegardes testées — sujet auquel nous consacrons un article séparé, parce que c’est la mesure la plus mal tenue de toutes.

6. La procédure en cas de violation#

Une fuite de données doit être notifiée à la CNIL dans les soixante-douze heures (articles 33 et 34) lorsqu’elle présente un risque pour les personnes, et communiquée aux personnes concernées lorsque ce risque est élevé. Toutes les violations, y compris celles qu’on ne notifie pas, doivent être consignées dans un registre interne.

Le délai est court. La seule façon de le tenir est d’avoir écrit à l’avance qui décide, qui rédige, avec quelles informations. Une page suffit. Au moment de l’incident, il ne reste ni le temps ni le calme de l’inventer.

Ce qui n’est pas obligatoire#

C’est souvent là qu’on vous vend le plus cher.

Un délégué à la protection des données (article 37). Obligatoire uniquement pour les organismes publics, le suivi régulier et systématique à grande échelle, et le traitement à grande échelle de données sensibles. La plupart des TPE n’y sont pas tenues. Désignez plutôt un référent interne, nommé dans vos mentions d’information.

Une analyse d’impact systématique (article 35). Elle n’est requise que pour les traitements susceptibles d’engendrer un risque élevé. Un site vitrine avec un formulaire n’en relève pas.

Une certification ou un « label RGPD ». Aucun label privé ne vaut conformité, et aucun n’est exigé par le règlement.

Un accompagnement à cinq chiffres. Les six points ci-dessus représentent, pour une TPE ordinaire, deux à trois jours de travail — dont la moitié consiste à retrouver ce qui existe déjà.

Ce qui se passe vraiment en cas de contrôle#

La suite la plus fréquente d’un contrôle est une mise en demeure, assortie d’un délai pour se mettre en conformité. Elle n’est pas publique dans la plupart des cas, et elle se clôt sans amende dès lors qu’on s’exécute.

Les sanctions financières visant de petites structures existent néanmoins, et se concentrent sur deux terrains : les traceurs déposés sans consentement, et la prospection commerciale non sollicitée. Ce sont, ce n’est pas un hasard, les deux points visibles de l’extérieur — donc ceux sur lesquels une plainte est facile à déposer.

D’où l’ordre que nous recommandons : commencez par le registre, qui vous montre le terrain, puis traitez immédiatement les traceurs et l’information des personnes, qui sont ce que tout le monde peut voir.