1.1 Le Règlement Général sur la Protection des Données (RGPD) constitue le nouveau cadre européen qui encadre le traitement des données personnelles sur le territoire de l’Union européenne. Entré en application le 25 mai 2018, il s’inscrit dans la continuité de la loi française « Informatique et Libertés » de 1978 et renforce le contrôle par les citoyens de l’utilisation de leurs données. Ce cadre unique harmonise les règles en Europe et offre aux professionnels un environnement juridique commun pour développer leurs activités numériques.
1.2 Le guide pratique de sensibilisation au RGPD des petites et moyennes entreprises a pour objectif de sensibiliser les PME à la mise en œuvre de leurs propres dispositifs de protection des données, dont elles sont seules et entièrement responsables. Il ne vise pas à couvrir l’ensemble des cas particuliers, mais à fournir un aperçu structuré des principales réflexions à mener et des actions à mettre en œuvre pour progresser dans la maturité numérique de l’entreprise.
1.3 Les données sont désormais au cœur de la chaîne de création de valeur : bien gérées et sécurisées, elles permettent de gagner en efficacité et en compétitivité, de personnaliser et de conforter la relation avec les clients, de conquérir de nouveaux marchés, d’améliorer les produits et services, et de faciliter la collaboration et la mobilité. Le RGPD, loin d’être uniquement une contrainte, peut ainsi devenir un véritable projet d’entreprise et un levier de création de valeur.
1.4 Le critère déterminant pour la mise en conformité n’est pas la taille de l’entreprise ni le nombre d’employés, mais le volume et la sensibilité des données traitées. Si les données personnelles ne sont pas au cœur de l’activité, les moyens à déployer pour se conformer au RGPD resteront limités. À l’inverse, lorsque les données sont au centre du modèle économique, une analyse approfondie de la réglementation est nécessaire.
1.5 Le RGPD repose sur une logique de gestion des risques et non sur une approche purement formelle. Il offre des marges de manœuvre pour définir des solutions sur mesure, adaptées à la nature des traitements, aux finalités poursuivies et aux risques encourus par les personnes concernées. Cette approche responsabilise davantage les organismes publics et privés qui traitent des données personnelles.
2.1 Le contexte juridique a dû s’adapter aux évolutions des technologies et des usages : développement massif du numérique, essor du commerce en ligne, multiplication des services connectés. Le RGPD répond à ces transformations en renforçant les droits des personnes et en imposant des obligations claires aux organisations qui collectent et utilisent des données permettant d’identifier des personnes physiques.
2.2 Le règlement vise à mettre fin à une distorsion de concurrence qui désavantageait parfois les entreprises européennes. Les mêmes obligations s’appliquent désormais aux entreprises établies hors de l’Union européenne dès lors qu’elles proposent des produits ou services à des résidents européens. Le RGPD place ainsi sur un même pied d’égalité les entreprises de l’UE et celles basées hors d’Europe.
2.3 Le RGPD renforce les principes de transparence et de loyauté dans le traitement des données. En tant qu’entrepreneur, ces obligations incitent à expliquer clairement à vos interlocuteurs (clients, salariés, prospects, fournisseurs, etc.) la manière dont leurs données sont utilisées et à leur donner la possibilité de les maîtriser. Cette transparence est le socle de la confiance entre acteurs économiques et citoyens.
2.4 Le règlement ne prévoit pas d’exception pour les PME françaises. Toutefois, selon leur activité, elles seront plus ou moins concernées. Une entreprise dont l’activité repose peu sur les données personnelles aura des efforts de mise en conformité limités, alors qu’une entreprise dont le modèle économique est centré sur la donnée devra engager une démarche plus structurée, incluant éventuellement des analyses d’impact et la désignation d’un délégué à la protection des données.
2.5 Le RGPD constitue également une opportunité économique : développer son activité en conformité permet de sécuriser et de protéger les données, de renforcer la confiance, de valoriser la richesse que constituent les données personnelles et de créer des services innovants, de manière harmonisée sur l’ensemble du marché européen.
3.1 Le RGPD s’applique à tout organisme, quelle que soit sa taille, son pays d’implantation ou son activité, dès lors qu’il traite des données personnelles pour son compte ou pour le compte d’un tiers, et que :
3.1.1 Il est établi sur le territoire de l’Union européenne ; ou
3.1.2 Son activité cible directement des résidents européens (par exemple via un site de e‑commerce en français livrant des produits en France).
3.2 Une société établie en France qui exporte l’ensemble de ses produits en dehors de l’Union européenne doit respecter le RGPD. De même, une société établie hors de l’UE qui propose des services à des résidents européens est soumise aux mêmes obligations. Le champ d’application est donc large et dépasse les frontières physiques.
3.3 Le RGPD concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres organismes. Si vous collectez ou traitez des données pour le compte d’une autre entité (entreprise, collectivité, association), vous avez des obligations spécifiques en matière de sécurité, de confidentialité et de documentation de votre activité.
3.4 Le règlement reconnaît ainsi le rôle des sous-traitants dans le traitement des données personnelles et impose des obligations partagées entre le responsable de traitement et ses prestataires. Un contrat doit préciser les responsabilités de chacun, notamment via une clause spécifique sur la protection des données personnelles.
4.1 Le RGPD est plus qu’une obligation légale : c’est l’occasion de se questionner sur son approche de la data et de sa transformation numérique. Il peut devenir un levier de performance et de différenciation concurrentielle.
4.2 Renforcer la confiance : toute personne qui confie ses données personnelles établit une relation de confiance et attend le respect de ses droits et de sa vie privée. Le RGPD réaffirme les droits d’accès, de rectification, d’effacement, d’opposition, etc. Le respect effectif de ces droits valorise l’image d’une entreprise sérieuse et responsable et scelle une relation de confiance durable avec les interlocuteurs.
4.3 Améliorer l’efficacité commerciale : pour vendre des produits ou services, l’entreprise constitue des fichiers clients et prospects. Le RGPD réaffirme le principe d’exactitude et de mise à jour des données. Maintenir des fichiers à jour est dans l’intérêt direct du développement du chiffre d’affaires : une gestion rigoureuse des données améliore l’efficacité des campagnes, la qualité de la facturation et la productivité globale.
4.4 Mieux gérer l’entreprise : avec le temps, le volume de données augmente et mobilise des moyens humains et techniques (stockage, logiciels, sécurité). Le principe de minimisation des données (« ne collecter que les données dont on a vraiment besoin ») et l’obligation de tenir un registre des traitements permettent de faire le point sur les données collectées, d’identifier les besoins réels et d’optimiser les investissements.
4.5 Améliorer la sécurité des données : l’actualité montre la multiplication des failles de sécurité et des attaques informatiques aux conséquences potentiellement désastreuses. Au même titre que le nom ou le logo de la PME, les données personnelles constituent un patrimoine informationnel à protéger par des mesures de sécurité informatiques et physiques. Protéger ce patrimoine, c’est aussi protéger les personnes concernées et donner à l’entreprise les moyens de se développer sereinement.
4.6 Rassurer les clients et donneurs d’ordre : dans tous les secteurs, les donneurs d’ordre seront attentifs à la mise en œuvre du RGPD par leurs prestataires. Pour les sous-traitants qui traitent des données pour le compte d’autres entreprises, la conformité est un enjeu crucial pour maintenir et développer les relations commerciales. Une PME respectant le RGPD bénéficie d’un avantage concurrentiel.
4.7 Créer de nouveaux services : le RGPD introduit de nouveaux concepts, comme la portabilité des données, qui peuvent se traduire en services innovants (par exemple, permettre à un utilisateur d’exporter ses listes de préférences sur des plateformes de musique ou de vidéo). L’organisation de ces nouveaux outils représente des défis techniques mais aussi des opportunités économiques, en améliorant l’expérience utilisateur et en influençant la décision d’achat.
4.8 La mise en conformité peut parfois être complexe, même si cela sera rarement le cas pour une PME. Il convient de rester vigilant face à certains acteurs proposant des prestations excessivement coûteuses ou des services peu scrupuleux. La sensibilisation interne et la compréhension des premiers éléments de langage autour du RGPD permettent de dialoguer de manière éclairée avec les prestataires.
5.1 Une donnée personnelle est « toute information se rapportant à une personne physique identifiée ou identifiable ». L’identification peut être directe (nom, prénom) ou indirecte (identifiant client, numéro de téléphone, donnée biométrique, éléments propres à l’identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale, voix, image).
5.2 L’identification peut résulter d’une seule donnée (numéro de sécurité sociale, ADN) ou du croisement de plusieurs informations (adresse, date de naissance, abonnements, engagement associatif). Une base marketing contenant des informations précises sur la localisation, l’âge, les goûts et les comportements d’achat est considérée comme un traitement de données personnelles dès lors qu’il est possible de remonter à une personne physique déterminée.
5.3 Un traitement de données personnelles est une opération ou un ensemble d’opérations portant sur des données personnelles, quel que soit le procédé utilisé : collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, communication, diffusion, mise à disposition, rapprochement, etc. Les fichiers papier sont également concernés et doivent être protégés dans les mêmes conditions que les traitements informatisés.
5.4 Un traitement doit toujours avoir un objectif, une finalité : il n’est pas possible de collecter ou traiter des données « au cas où » elles seraient utiles un jour. Chaque traitement doit être rattaché à un but légal et légitime au regard de l’activité professionnelle (par exemple, la gestion de la clientèle, la gestion de la paie, la prospection commerciale).
5.5 Un fichier ne contenant que des coordonnées d’entreprises (dénomination sociale, adresse postale, numéro de standard, email générique) n’est pas un traitement de données personnelles. En revanche, dès qu’il est possible d’identifier une personne physique, le RGPD s’applique.
6.1 La mise en conformité au RGPD repose sur quatre actions principales qui doivent perdurer dans le temps pour être efficaces : recenser les fichiers, faire le tri dans les données, respecter les droits des personnes et sécuriser les données. Ces actions structurent une démarche continue de protection des données.
7.1 Le registre listant les traitements de données permet d’avoir une vision d’ensemble des activités impliquant des données personnelles. Il s’agit d’identifier les activités principales nécessitant la collecte et le traitement de données : recrutement, gestion de la paie, formation, gestion des badges et des accès, statistiques de ventes, gestion des clients et prospects, etc.
7.2 Pour chaque activité recensée, une fiche de registre doit préciser :
7.2.1 La finalité (par exemple, la fidélisation client) ;
7.2.2 Les catégories de données utilisées (nom, prénom, date de naissance, salaire, etc.) ;
7.2.3 Les destinataires (services internes, prestataires, partenaires, hébergeurs) ;
7.2.4 La durée de conservation (durée opérationnelle et durée en archive).
7.3 Le registre est placé sous la responsabilité du dirigeant de l’entreprise. Pour qu’il soit exhaustif et à jour, il est nécessaire de dialoguer avec toutes les personnes susceptibles de traiter des données personnelles. Les traitements purement occasionnels (par exemple, un fichier pour une inauguration ponctuelle) n’ont pas à y figurer.
7.4 La constitution du registre permet de s’interroger sur les données dont l’entreprise a réellement besoin et de préparer les étapes suivantes de rationalisation et de sécurisation.
8.1 Pour chaque fiche de registre, il convient de vérifier :
8.1.1 Que les données traitées sont nécessaires aux activités (par exemple, ne pas collecter des informations sur les enfants des salariés si aucun service ou rémunération n’y est attaché) ;
8.1.2 Qu’aucune donnée sensible n’est traitée sans base légale appropriée (données de santé, biométrie, opinions, etc.) ;
8.1.3 Que seules les personnes habilitées ont accès aux données dont elles ont besoin ;
8.1.4 Que les données ne sont pas conservées au-delà de ce qui est nécessaire.
8.2 Cette étape est l’occasion d’améliorer les pratiques : minimiser la collecte, supprimer des champs inutiles dans les formulaires, redéfinir les droits d’accès, mettre en place des règles automatiques d’effacement ou d’archivage au bout d’une certaine durée.
8.3 L’échange avec d’autres entrepreneurs ou avec une fédération professionnelle peut aider à mieux appréhender la mise en œuvre concrète du RGPD et à identifier des standards sectoriels pertinents.
9.1 Le RGPD renforce l’obligation d’information et de transparence à l’égard des personnes dont les données sont traitées (clients, collaborateurs, prestataires, etc.). À chaque collecte de données, le support utilisé (formulaire, questionnaire, interface en ligne) doit comporter des mentions d’information claires.
9.2 Ces mentions doivent notamment préciser :
9.2.1 La finalité de la collecte (par exemple, gérer un achat en ligne) ;
9.2.2 Le fondement juridique (consentement, exécution d’un contrat, obligation légale, intérêt légitime) ;
9.2.3 Les destinataires des données (services internes, prestataires) ;
9.2.4 La durée de conservation (par exemple, « 5 ans après la fin de la relation contractuelle ») ;
9.2.5 Les modalités d’exercice des droits (espace personnel, adresse email dédiée, courrier postal) ;
9.2.6 L’existence éventuelle de transferts hors de l’Union européenne et leur encadrement juridique.
9.3 Pour éviter des mentions trop longues, un premier niveau d’information peut être donné au niveau du formulaire, avec un renvoi vers une politique de confidentialité ou une page « vie privée » plus détaillée. À l’issue de cette étape, l’entreprise répond à son obligation de transparence.
9.4 Les personnes disposent de droits renforcés : droit d’accès, de rectification, d’opposition, d’effacement, de portabilité et de limitation du traitement. L’entreprise doit leur donner les moyens d’exercer effectivement ces droits (formulaire de contact spécifique, numéro de téléphone, adresse de messagerie dédiée, fonctionnalités dans le compte en ligne).
9.5 Un processus interne doit garantir l’identification et le traitement des demandes dans des délais courts (un mois maximum). Une gestion réactive et efficace des demandes contribue à renforcer la confiance, à éviter les critiques sur les réseaux sociaux et à limiter les réclamations auprès de la CNIL.
10.1 Le risque zéro n’existe pas en informatique, mais l’entreprise est tenue de prendre les mesures nécessaires pour garantir au mieux la sécurité des données personnelles. Il s’agit de préserver l’intégrité du patrimoine de données et de minimiser les risques de perte, de piratage, de divulgation ou de modification non souhaitée.
10.2 Les mesures à prendre, informatiques ou physiques, dépendent de la sensibilité des données et des risques pour les personnes en cas d’incident. Parmi les actions possibles : mises à jour régulières des antivirus et logiciels, changement périodique des mots de passe, utilisation de mots de passe complexes, chiffrement des données dans certaines situations, sécurisation des accès aux locaux.
10.3 L’évaluation du niveau de sécurité passe par des questions concrètes : les comptes utilisateurs sont-ils protégés par des mots de passe suffisamment complexes ? Les accès aux locaux sont-ils sécurisés ? Des profils distincts sont-ils créés selon les besoins des utilisateurs ? Une procédure de sauvegarde et de récupération des données en cas d’incident est-elle en place ?
10.4 Les failles de sécurité ont des conséquences pour les personnes concernées. Par exemple, un restaurateur qui livre à domicile et conserve l’adresse précise et le code d’entrée de l’immeuble de ses clients doit mesurer les risques en cas de piratage ou de perte de ces informations, qui pourraient être utilisées pour s’introduire frauduleusement au domicile des clients.
10.5 En cas de violation de données personnelles (destruction, perte, altération, divulgation ou accès non autorisé), l’entreprise doit la signaler à la CNIL dans les 72 heures si cette violation est susceptible de représenter un risque pour les droits et libertés des personnes concernées. Si les risques sont élevés, les personnes doivent également être informées.
10.6 Une démarche d’anticipation sur le niveau global de sécurité peut être complétée par une approche assurantielle (responsabilité civile, dommages couverts, assistance en cas de sinistre, gestion de crise). En cas de difficultés (sinistre, attaque informatique), des dispositifs d’aide en ligne et des listes de prestataires spécialisés peuvent être mobilisés.
11.1 Le RGPD reconnaît le rôle des sous-traitants dans le traitement des données personnelles et leur impose des obligations particulières. Le sous-traitant est la personne physique ou morale qui traite des données personnelles pour le compte d’un autre organisme (le responsable de traitement), dans le cadre d’un service ou d’une prestation.
11.2 Une entreprise est concernée en qualité de responsable de traitement lorsqu’elle confie la gestion de ses données personnelles à des prestataires (SSII, intégrateurs de logiciels, hébergeurs de données). Elle est concernée en qualité de sous-traitant lorsqu’elle traite des données sur instruction et pour le compte d’un autre organisme (par exemple, opérations de prospection commerciale pour le compte de clients).
11.3 Les sous-traitants doivent respecter des obligations spécifiques en matière de sécurité, de confidentialité et de documentation. Ils doivent intégrer la protection des données et de la vie privée dès la conception de leurs services ou produits (privacy by design) et mettre en place des mesures garantissant une protection optimale des données.
11.4 Ils ont également une obligation de conseil auprès de leurs clients (par exemple, insister sur les mises à jour de logiciels, aider à la réalisation d’analyses d’impact, à la notification des violations de données, à la mise en œuvre de mesures de sécurité). Ils doivent tenir un registre des activités de traitement effectuées pour le compte de leurs clients, en complément de leurs propres traitements.
11.5 Un contrat doit déterminer les obligations respectives du responsable de traitement et du sous-traitant, avec une clause spécifique sur la protection des données personnelles. Il peut être pertinent d’y prévoir des mécanismes de médiation pour gérer d’éventuels conflits.
12.1 Certaines données ou certains types de traitements nécessitent une vigilance particulière. Sont notamment concernées les données sensibles : origine prétendument raciale ou ethnique, opinions politiques, philosophiques ou religieuses, appartenance syndicale, santé, orientation sexuelle, données génétiques ou biométriques. Les données relatives aux infractions ou condamnations pénales font également l’objet de règles spécifiques.
12.2 Au-delà de la nature des données, certains traitements sont considérés comme à risque lorsqu’ils ont pour objet ou pour effet :
12.2.1 L’évaluation d’aspects personnels ou la notation d’une personne (scoring financier, par exemple) ;
12.2.2 Une prise de décision automatisée ;
12.2.3 La surveillance systématique de personnes (télésurveillance, par exemple) ;
12.2.4 Le traitement de données sensibles (santé, biométrie, etc.) ;
12.2.5 Le traitement de données concernant des personnes vulnérables (mineurs, par exemple) ;
12.2.6 Le traitement à grande échelle de données personnelles ;
12.2.7 Le croisement d’ensembles de données ;
12.2.8 Des usages innovants ou l’application de nouvelles technologies (objets connectés, par exemple) ;
12.2.9 L’exclusion du bénéfice d’un droit, d’un service ou d’un contrat (liste noire, par exemple).
12.3 Si un traitement répond à au moins deux de ces neuf critères, une analyse d’impact sur la protection des données (PIA – Privacy Impact Assessment) doit, en principe, être conduite avant le démarrage. En complément du registre, cette analyse permet d’identifier les risques associés aux données personnelles et de définir les mesures de réduction de ces risques.
12.4 Lorsque des transferts de données hors de l’Union européenne sont envisagés, il convient de vérifier si le pays de destination dispose d’une législation de protection des données reconnue adéquate par la Commission européenne. À défaut, des mécanismes juridiques spécifiques doivent encadrer les transferts pour assurer un niveau de protection suffisant.
12.5 Dans les situations présentant des risques spécifiques ou des problématiques nouvelles, une analyse approfondie du RGPD et de la loi Informatique et Libertés est nécessaire. La désignation d’un délégué à la protection des données peut être obligatoire (en cas de traitements à grande échelle présentant des risques particuliers) ou fortement recommandée pour piloter la conformité.
13.1 Ne collecter que les données vraiment nécessaires : se poser les bonnes questions sur l’objectif poursuivi, la pertinence des données, la base légale et l’accord des personnes concernées.
13.2 Être transparent : une information claire et complète constitue le socle du contrat de confiance avec les personnes dont les données sont traitées.
13.3 Penser aux droits des personnes : répondre dans les meilleurs délais aux demandes de consultation, de rectification ou de suppression des données.
13.4 Garder la maîtrise des données : encadrer et contractualiser le partage et la circulation des données personnelles pour assurer leur protection à tout moment.
13.5 Identifier les risques : lorsque l’entreprise traite énormément de données, des données sensibles ou mène des activités ayant des conséquences particulières pour les personnes, des mesures spécifiques doivent être envisagées.
13.6 Sécuriser les données : adapter les mesures de sécurité, informatiques et physiques, à la sensibilité des données et aux risques encourus en cas d’incident.
14.1 La Commission nationale de l’informatique et des libertés (CNIL) est le régulateur français des données personnelles. Elle accompagne les acteurs privés et publics dans la mise en œuvre de leur conformité, reçoit et traite les réclamations des particuliers, dispose de pouvoirs de contrôle sur place ou en ligne et peut imposer des mises en demeure ou prononcer des sanctions (amendes, par exemple).
14.2 Bpifrance finance les entreprises à chaque étape de leur développement (crédit, garantie, fonds propres), les accompagne dans leurs projets d’innovation et à l’international, et propose des services de conseil, de mise en réseau et des programmes d’accélération. Bpifrance Le Lab, laboratoire d’idées lancé en 2014, décrypte les déterminants de la croissance et éclaire les dirigeants dans un contexte de ruptures économiques, sociétales et environnementales, avec pour finalité d’améliorer les pratiques de financement et de stimuler la réflexion stratégique des dirigeants.
15.1 Offrir à ses clients la maîtrise de leurs données personnelles constitue un gage de qualité et de confiance, notamment lorsqu’ils constatent que leurs choix sont respectés et qu’ils ne sont sollicités que lorsqu’ils le souhaitent. La protection des données est ainsi au cœur d’une relation client durable.
15.2 Dans le cadre de la prospection de nouveaux clients, de nombreux outils permettent de solliciter des personnes qui ne sont pas encore clientes. L’utilisation de données personnelles à des fins de sollicitation commerciale (nom, email, numéro de téléphone, adresse postale, etc.) est encadrée par des règles précises. Il est nécessaire de se montrer prudent avec les données librement accessibles sur internet (annuaires, par exemple) et avec les bases marketing en vente à bas prix, souvent peu fiables et collectées dans des conditions non conformes.
15.3 L’usage de fichiers qualifiés, comportant des données fiables sur des personnes a priori intéressées par l’offre, permet d’éviter des campagnes coûteuses et inefficaces, des factures non reçues ou des plaintes auprès de la CNIL. La qualité des données est un facteur clé de performance commerciale.
15.4 Selon le mode de prospection utilisé (email, téléphone, SMS), les personnes doivent soit avoir donné leur accord préalable (opt-in), soit ne pas s’être opposées (opt-out). L’opt-in est requis pour la publicité B2C par email, SMS, MMS, automate d’appels ou fax. L’opt-out s’applique à la publicité B2B par email et à la publicité B2C par voie postale ou par téléphone.
15.5 Dans tous les cas, les personnes doivent pouvoir refuser de recevoir d’autres sollicitations. Il convient de leur offrir cette possibilité lors de chaque contact (lien de désabonnement fonctionnel dans les emails, par exemple) et de s’organiser pour prendre effectivement en compte ces demandes (liste des personnes opposées à la prospection).
15.6 Ces règles s’appliquent également à la prospection auprès des clients actuels. En fonction des modalités de prospection (email, téléphone, SMS, partenaires), les règles de recueil du consentement varient. Il est pertinent de prévoir des fonctionnalités ergonomiques permettant aux clients d’exprimer leurs préférences de communication et de les informer des moyens existants pour s’opposer aux sollicitations commerciales.
15.7 La fidélisation des clients repose sur trois règles : faire le tri dans les données collectées, informer les clients sur l’usage de leurs données et ne pas conserver indéfiniment les informations. Il est nécessaire de distinguer les données obligatoires pour rendre le service (facturation, livraison, garantie, abonnement) des données facultatives permettant d’offrir des services optionnels (programme de fidélité, promotions ciblées).
15.8 Au moment de la collecte, une rubrique « Protection des données » doit être intégrée dans les conditions générales de vente, et une mention d’information doit figurer sur chaque formulaire (par exemple, pour une carte de fidélité). Les clients doivent disposer de moyens simples et rapides pour exercer leurs droits d’accès, de rectification, d’opposition et d’effacement.
15.9 La durée de conservation doit être maîtrisée : suppression des informations en cas d’inactivité prolongée (par exemple, trois ans après la fin de la relation commerciale), tout en conservant certaines données en raison d’obligations légales (comptabilité, contentieux) dans une base d’archives à accès restreint.
16.1 Protéger les données personnelles des collaborateurs sur leur lieu et pendant leur temps de travail renforce le lien de confiance nécessaire au bon fonctionnement de l’entreprise. Le développement des nouvelles technologies au travail peut faire craindre une surveillance systématique, d’où l’importance de la transparence.
16.2 De nombreuses données personnelles sont nécessaires pour la gestion de la carrière : rémunération et déclarations sociales, registre unique du personnel, gestion administrative (type de permis de conduire, coordonnées de personnes à prévenir en cas d’urgence), organisation du travail (photographie facultative pour les annuaires internes), action sociale (informations sur les ayants droit).
16.3 L’entreprise doit se limiter aux informations utiles pour accomplir les missions des employés et éviter de traiter des données sensibles (activité syndicale, opinions politiques, religion, origine ethnique, santé), sauf obligations particulières. Les informations à risque (coordonnées bancaires, numéro de sécurité sociale) doivent faire l’objet de mesures de confidentialité et de sécurité renforcées, avec un accès réservé aux seules personnes habilitées et une traçabilité des actions (qui se connecte, quand, pour faire quoi).
16.4 Les collaborateurs doivent être informés à chaque fois que des informations sont demandées (mise à jour des données administratives, demande de formation, formulaire d’entretien d’évaluation, etc.). Ils peuvent demander une copie de toutes les données les concernant (bulletins de paie, état d’un compte épargne-temps, enregistrements téléphoniques, relevés de badgeuses, messages envoyés via le mail professionnel), y compris lorsqu’ils ne sont plus en poste ou en cas de litige.
16.5 Lors du recrutement, seules les informations utiles au regard du poste à pourvoir peuvent être collectées. Des informations sur l’emploi occupé par les membres de la famille n’ont pas de lien avec les compétences du candidat, et il est inutile de demander le numéro de sécurité sociale à ce stade. Les candidats doivent être informés de l’usage de leurs données, des destinataires, de la durée de conservation et des modalités d’exercice de leurs droits. Les données des candidats non retenus doivent être supprimées, sauf accord pour rester dans un vivier pour une durée limitée.
16.6 Le code du travail permet de contrôler l’activité des employés, mais ceux-ci conservent un droit au respect de leur vie privée et à la protection de leurs données. Deux règles simples s’imposent : ne pas abuser du pouvoir de contrôle (la surveillance doit reposer sur un intérêt légitime, ne pas être permanente, ne pas servir à des objectifs cachés) et être transparent (consultation des instances représentatives du personnel, information des employés via des supports adaptés).
16.7 En fonction des technologies utilisées (vidéosurveillance, géolocalisation, outils de contrôle des accès, etc.), des règles particulières peuvent s’appliquer. Une analyse préalable des risques et des finalités est nécessaire pour éviter les dérives et respecter l’équilibre entre sécurité et vie privée.
17.1 La protection des données personnelles n’est pas seulement l’affaire des juristes ou des informaticiens. Tous les employés sont concernés, en tant que professionnels en relation avec les clients, fournisseurs, prestataires, et en tant que citoyens. La sensibilisation et la formation sont donc des leviers essentiels.
17.2 Des points d’attention simples peuvent être mis en place : identifier clairement les demandes relatives aux droits des personnes et les orienter vers le bon service ; rappeler les règles internes de gestion des données (accès limité aux données nécessaires, interdiction de divulguer à des tiers non autorisés, accès restreint aux archives, sauvegardes régulières) ; diffuser les règles élémentaires de sécurité (identifiants et mots de passe personnels et complexes, verrouillage du poste de travail, interdiction de stocker des documents professionnels sur des outils personnels).
17.3 La mise en place du RGPD est une occasion de diffuser une charte informatique et de sensibiliser l’ensemble des collaborateurs aux règles à suivre en matière de protection des données, afin de créer une culture commune de la confidentialité et de la sécurité.
18.1 Lorsqu’une entreprise utilise un site internet et des comptes sociaux pour communiquer, elle doit vérifier si elle protège suffisamment les données personnelles des personnes qui visitent ses plateformes. Le caractère viral des réseaux sociaux (Facebook, Twitter, LinkedIn, Instagram, etc.) impose une vigilance particulière pour éviter les piratages, les fuites de données et les atteintes à la réputation en ligne.
18.2 Pour un site vitrine présentant l’activité et proposant un formulaire de contact ou un abonnement à une lettre d’information, il est recommandé de prendre en compte la protection des données dès la conception. L’accès au contenu ne doit pas être conditionné à l’abonnement à la newsletter. Des mentions CNIL doivent figurer en bas du formulaire de contact, un moyen de contact électronique doit être prévu pour l’exercice des droits, et des mentions légales doivent identifier l’éditeur du site.
18.3 Sur les réseaux sociaux, il est pertinent de rendre accessible un article ou un lien vers une page d’information sur les droits, et de préparer des réponses types aux internautes qui exercent, par exemple, leur droit d’opposition. La réactivité et l’efficacité des réponses contribuent à la e‑réputation de l’entreprise.
18.4 Pour la vente en ligne, des mises à jour techniques et une surveillance régulière de la sécurité du site sont nécessaires. Les données collectées doivent être justifiées par le service rendu (sécurité de la transaction, enrichissement de la connaissance client). L’entreprise doit intégrer dans le parcours de vente l’information et le consentement des clients, en les informant clairement de l’usage de leurs données et en leur permettant d’exprimer leurs préférences.
18.5 Trois règles simples s’appliquent à la vente en ligne : sécuriser les données (parcours en https, mots de passe complexes, absence de transmission de données sensibles par email, non‑conservation des coordonnées bancaires, sécurisation de la transaction bancaire), informer les clients via une page « vie privée » à jour, et laisser aux clients la possibilité de contrôler l’utilisation de leurs données (contact dédié pour l’accès, la rectification, l’effacement, signalement de difficultés).
19.1 Lorsqu’un site dépose des cookies ou autres traceurs sur les terminaux des internautes (ordinateur, tablette, smartphone), il devient possible d’analyser leur navigation, leurs déplacements et leurs habitudes de consultation ou de consommation. Selon l’objet du traceur, il est nécessaire soit d’informer l’internaute (par exemple, cookie « panier d’achat »), soit d’obtenir son consentement préalable (par exemple, cookie publicitaire).
19.2 Si le site utilise des fonctionnalités offertes par d’autres plateformes (solutions de statistiques, boutons sociaux, vidéos provenant de services tiers), le consentement des visiteurs doit être recueilli avant le dépôt ou la lecture des traceurs. La gestion des cookies et traceurs s’inscrit ainsi dans la logique générale de transparence, de maîtrise par l’utilisateur et de respect de la vie privée.
20.1 Collecter et traiter des données personnelles implique avant tout d’informer les personnes sur ce qui est fait de leurs données et de respecter leurs droits. En tant que responsable de traitement ou sous-traitant, l’entreprise doit prendre des mesures pour garantir une utilisation des données respectueuse de la vie privée.
20.2 En intégrant les six bons réflexes (minimisation, transparence, respect des droits, maîtrise des flux, identification des risques, sécurisation) et en s’appuyant sur les outils proposés (registre des traitements, analyses d’impact, contrats de sous-traitance, politiques de confidentialité), une PME peut transformer la conformité au RGPD en un véritable levier de confiance, de sécurité et de croissance durable.
21.1 Bloctel – Liste nationale d’opposition au démarchage téléphonique
Type d’acte : Guide
Autorité / organisme : CNIL, Bpifrance Le Lab
Date du texte : 25 mai 2018
Numéro : 1002-01
Variantes exactes de recherche :
Guide 1002-01
guide 1002-01
guide n 1002-01
guide N° 1002-01
guide n° 1002-01 du 25 mai 2018
guide du 25 mai 2018 sensibilisation au RGPD PME
1002-01
N° 1002-01
n° 1002-01
no 1002-01
Guide pratique de sensibilisation au RGPD pour les petites et moyennes entreprises – Les grandes étapes pour protéger les données personnelles de votre entreprise
sensibilisation au RGPD PME 1002-01
guide sensibilisation au RGPD PME
CNIL guide 1002-01
Résumé : Ce guide pratique élaboré par la CNIL et Bpifrance Le Lab vise à sensibiliser les petites et moyennes entreprises à la mise en conformité avec le Règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés, en présentant les avantages économiques et organisationnels de la conformité et les principales notions (données personnelles, traitements, responsabilités). Il détaille des actions opérationnelles pour recenser les traitements, trier les données, respecter les droits des personnes, sécuriser les données, encadrer la sous-traitance, gérer les traitements à risque et, le cas échéant, recourir à un délégué à la protection des données.
Approfondir ce sujet :