RGPD pour une TPE/PME : l'essentiel

Le RGPD traîne une réputation de monstre administratif réservé aux grands groupes. Une donnée personnelle, au sens du règlement, c'est pourtant tout ce qui permet d'identifier quelqu'un : un nom, une adresse e-mail, un numéro de téléphone. Autant dire que toute entreprise en détient. En pratique, pour une petite structure, l'essentiel tient en quelques décisions de bon sens, et la difficulté n'est pas juridique : elle est de savoir par où commencer sans se noyer. C'est l'objet de ce guide, des repères pratiques, pas un conseil juridique : de quoi avancer sereinement, et savoir quand consulter un spécialiste.

Ce que le RGPD demande vraiment à une petite structure

Trois obligations forment le socle, et aucune ne demande un service juridique :

• Un registre des traitements simple. Un document qui liste, pour chaque usage (clients, prospects, paie, newsletter), quelles données vous collectez, pourquoi, qui y accède et combien de temps vous les gardez. Pour une TPE, quelques pages suffisent, et la CNIL (l'autorité française de protection des données) propose un modèle simplifié.
• Une base légale pour chaque usage. Chaque traitement doit s'appuyer sur une justification prévue par le règlement : le contrat (vous facturez un client), une obligation légale (la comptabilité), l'intérêt légitime (la prospection encadrée) ou le consentement (la newsletter). Le plus souvent, il s'agit simplement de nommer ce que vous faites déjà.
• Répondre aux demandes des personnes. Un client ou un contact peut demander à consulter, corriger ou effacer ses données. Il vous faut un point d'entrée identifié et une réponse rapide, pas une usine à gaz.

Ce qui relève du fantasme

Autour du RGPD circule une couche de peurs qui ne résiste pas à la lecture des textes. Trois idées reçues fréquentes :

• «  Il faut un délégué à la protection des données.  » Non : le DPO (délégué à la protection des données) n'est obligatoire que dans des cas précis, comme le traitement à grande échelle de données sensibles. La plupart des TPE et PME n'en ont pas l'obligation.
• «  Il faut se faire certifier RGPD.  » Il n'existe aucune certification attestant qu'une entreprise est «  conforme au RGPD  » dans son ensemble. Les certifications reconnues par la CNIL portent sur des périmètres précis : les compétences d'un délégué à la protection des données, les prestataires de formation, ou un traitement particulier. Méfiez-vous donc des offres qui vendent un tampon de conformité globale et définitive : la conformité est une pratique qui s'entretient, pas un diplôme qu'on accroche au mur.
• «  La CNIL sanctionne au premier faux pas.  » Son action est graduée : la mise en demeure précède la sanction, et les contrôles visent d'abord les manquements graves ou massifs. Une petite structure de bonne foi, qui a commencé et peut le montrer, n'est pas la cible prioritaire.

Votre site web, concrètement

Le site est la partie la plus visible de votre conformité, celle que vos clients croisent tous les jours. Quatre points à tenir : des mentions légales à jour ; une politique de confidentialité qui décrit réellement ce que vous faites des données, en français courant ; un bandeau cookies honnête, où le refus est aussi simple que l'accord et où rien ne se charge avant le consentement, pas même la mesure d'audience ; et des formulaires sobres, qui ne collectent que le nécessaire (un devis n'a pas besoin de votre date de naissance). Un bandeau qui cache le refus derrière trois écrans n'est pas seulement non conforme : il dit quelque chose de vous à vos visiteurs. Ce site même applique ces principes : aucune mesure d'audience n'y démarre avant votre accord. C'est un des engagements de notre approche gouvernance & confiance, et l'un des points tenus dans la durée au titre de la présence gérée.

Vos outils du quotidien

La conformité ne s'arrête pas au site : vos données clients vivent aussi chez vos prestataires. Deux questions à poser. Où sont hébergées les données ? Un hébergement en Europe simplifie beaucoup de choses ; un transfert hors Union européenne demande des garanties supplémentaires. Vos sous-traitants sont-ils cadrés ? Hébergeur, outil d'emailing, CRM (logiciel de gestion de la relation client) : chacun traite des données pour votre compte et doit s'y engager par contrat, ce que les prestataires sérieux prévoient déjà dans leurs conditions. La question voisine, savoir qui accède à vos données, si elles sont sauvegardées et si vous pouvez partir avec, relève de la souveraineté plus que de la conformité : nous la traitons dans garder la main sur vos données.

Par où commencer sans se noyer

Le piège classique est de vouloir tout traiter d'un coup, puis de ne rien faire du tout. Triez plutôt par effort et par risque couvert : quelques chantiers se règlent en une semaine et couvrent l'essentiel de ce qui se voit, le reste se pose tranquillement dans le trimestre. Ce tri a une autre vertu : une démarche entamée et documentée, même imparfaite, pèse bien plus qu'un dossier parfait sur le papier mais vide en pratique.

Si vous voulez situer votre site et vos outils sur ces chantiers, c'est exactement le genre de point que nous faisons lors du diagnostic gratuit : 20 minutes pour identifier ce qui est déjà en ordre, et ce qui mérite d'être traité en premier.