Objectifs du RGPD et rôle du DPO : ce que le règlement attend d’une PME

Le RGPD est le règlement européen 2016/679 qui encadre depuis le 25 mai 2018 tout traitement de données personnelles concernant des personnes situées dans l'Union européenne, y compris quand l'organisation qui traite ces données est une petite entreprise.

Parce qu'il est un règlement et non une directive, le RGPD s'applique tel quel dans les 27 États membres, sans transposition en droit français. En France, la CNIL veille à son application et publie les sanctions prononcées, ce qui donne des repères sur les écarts réellement sanctionnés.

Un fichier clients, des paies ou un simple formulaire de contact suffisent à vous placer dans le champ du texte, comme un grand groupe, le volume change la charge de travail, pas le principe. Une petite structure applique le cadre à son échelle, avec moins de moyens et de temps.

L'article 5 du RGPD énonce les principes qui traduisent ses objectifs, licéité, loyauté et transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité et confidentialité, et responsabilité de l'organisme.

Les principes de l'article 5 servent de grille de contrôle et se traduisent en choix quotidiens, ne collecter que ce qui sert, dire au client pourquoi vous gardez ses informations, effacer ce qui n'a plus d'usage, protéger le reste. Chaque principe a une conséquence pratique. Demander une donnée inutile viole la minimisation ; la garder sans raison viole la limitation de conservation.

Le principe de responsabilité déplace la charge de la preuve sur l'organisme, il doit démontrer sa conformité, et pas seulement l'appliquer (article 5.2). Lors d'un contrôle, on vous demandera ce que vous pouvez montrer, une procédure écrite, un registre à jour, une trace de vos décisions.

L'article 30 du RGPD demande de tenir un registre des activités de traitement, concrètement, un tableau qui recense, pour chaque usage de données, sa finalité, les catégories de personnes et de données concernées, les destinataires, la durée de conservation et les mesures de sécurité.

Pour tenir ce registre, un simple tableur suffit, chaque ligne décrit un usage de données, avec sa finalité, les personnes concernées, les données visées, les destinataires, la durée de conservation et les mesures de protection. L'outil compte peu, la mise à jour beaucoup, un fichier corrigé à chaque nouveau traitement garde sa valeur.

Les durées du tableau sont des repères usuels, pas des mentions imposées par l'article 30. Pour la prospection, les données des prospects peuvent être conservées trois ans à compter de leur collecte ou du dernier contact, sauf opposition (Monexpertrgpd, d'après la CNIL). Vous voyez ainsi ce que vous collectez, pourquoi, et ce que vous en faites.

Est une donnée personnelle toute information qui permet d'identifier directement ou indirectement une personne, nom, e-mail, numéro de salarié, adresse IP, voix enregistrée. Certaines catégories sont dites sensibles, par exemple la santé, les origines ou les opinions politiques, et leur traitement suit des règles renforcées.

Toute information rattachée à un salarié ou à un client entre dans le champ, état civil, coordonnées, numéro de salarié, mais aussi adresse IP ou identifiant de connexion. Ces données techniques identifient indirectement une personne, donc elles suivent le même régime que les autres. Le règlement ne range pas les données en trois catégories officielles, il sépare les données personnelles ordinaires des catégories particulières de l'article 9, comme la santé, les origines ou les opinions politiques, dont le traitement obéit à des règles renforcées.

Le délégué à la protection des données (DPO) est la personne chargée de veiller au respect du RGPD dans l'organisation ; ses missions, définies aux articles 37 à 39, sont d'informer et conseiller les équipes, de contrôler la conformité, de servir de point de contact avec la CNIL et d'être associé aux analyses de risque.

Le délégué à la protection des données veille au respect du RGPD dans l'organisation. Ses missions, fixées aux articles 37 à 39, consistent à informer et conseiller les équipes, contrôler la conformité, servir de point de contact avec la CNIL et être associé aux analyses de risque. Mais la désignation n'est obligatoire que dans trois situations, un traitement à grande échelle de données sensibles ou relatives à des condamnations, un suivi régulier et systématique de personnes à grande échelle, ou un traitement réalisé par une autorité publique. Une petite structure qui gère une paie et un fichier clients n'entre pas dans ces cas.

Si vous devez désigner un DPO, il n'a pas besoin d'être salarié, vous pouvez recourir à un DPO externe, y compris mutualisé entre plusieurs structures, et la CNIL ne fixe aucun tarif. Attention toutefois, le DPO ne décide pas à la place de la direction. Il conseille, alerte et documente, mais la responsabilité de la conformité reste celle de l'organisme.

En France, la CNIL contrôle l'application du RGPD et peut prononcer des sanctions administratives ; l'article 83 du règlement prévoit des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Toutes les violations ne se valent pas. Le plafond d'amende vise les manquements les plus graves, ceux qui touchent les principes de base du règlement et les droits des personnes, traiter des données sans fondement, ignorer ce que le texte reconnaît aux individus. Pour le reste, le montant retenu est celui qui pèse le plus lourd, afin que la sanction reste dissuasive quel que soit le cas.

La CNIL peut être saisie par la plainte d'une personne concernée, et pas seulement lors d'un contrôle programmé, le manquement se découvre aussi par le signalement. Les sanctions qu'elle publie deviennent alors des cas d'école, elles montrent quels écarts reviennent le plus souvent, à commencer par l'absence de base légale et le non-respect des durées de conservation. Autrement dit, ce qui coûte le plus cher est aussi ce que l'on oublie le plus facilement.

La mise en conformité commence par cinq gestes simples, tenables en quelques heures dans une structure de dix à cinquante personnes, recenser les traitements, fixer les durées de conservation, vérifier les mentions et recenser les sous-traitants.

Un premier passage sur votre registre vous donne une base à compléter au fil des traitements découverts. Ces gestes couvrent la partie commune à presque toutes les structures, mais ils ne remplacent pas un avis juridique dès qu'une situation devient sensible.

Chaque action laisse une trace concrète, un fichier, une page, un tableau. C'est cette trace qui rend votre conformité démontrable au sens de l'article 5.2, car sans elle vous ne pouvez rien prouver.

Le droit d'accès, de rectification, d'effacement et d'opposition s'exerce auprès de l'organisme qui détient les données, et l'article 12.3 du RGPD fixe le délai de réponse à un mois, prolongeable de deux mois lorsque la demande est complexe ou que le nombre de demandes le justifie.

Exemple de bout en bout. Un client écrit à l'adresse dédiée pour demander l'accès à ses données. Jour 1, vous enregistrez la demande avec sa date de réception, qui fait courir le délai d'un mois (article 12.3). Jours 2 à 10, vous vérifiez l'identité, puis cherchez dans tous les fichiers, boîtes mail et exports. Avant la fin du mois, vous répondez, et vous tracez la réponse. Le délai peut être prolongé de deux mois si la demande est complexe ou si les demandes sont nombreuses.

Si la personne conteste votre réponse, elle peut saisir la CNIL, qui intervient alors auprès de vous. Mieux vaut donc tracer chaque demande et sa réponse que de laisser un désaccord s'installer, le canal identifié tient ici autant de la conformité que de la tranquillité de l'équipe.

Oui, pas une paperasse abstraite, mais des principes de bon sens que le règlement transforme en obligations concrètes et démontrables.

Le RGPD n'est pas un texte réservé aux grands groupes, dès qu'une PME traite des données de clients, de salariés ou de prospects, elle entre dans son champ. Ce que le règlement attend vraiment, c'est que vous sachiez quelles données vous utilisez, pourquoi, pendant combien de temps, et que vous puissiez le prouver. Les principes de l'article 5 donnent le cap, le registre de l'article 30 en est l'outil central, et le DPO, quand il existe, sert à faire vivre l'ensemble au quotidien.

Rien de tout cela ne demande de tout réécrire d'un coup. Les premières actions utiles tiennent en quelques heures et produisent des livrables immédiats, un fichier, une page, un tableau. C'est cette progressivité qui rend la conformité tenable et surtout démontrable. Ensuite, ce sont les réponses apportées aux personnes et la vigilance sur les données sensibles qui font la différence. Les sanctions existent, mais elles visent d'abord ceux qui ignorent les demandes ou traitent sans cadre.