Une jeune entreprise collecte souvent des données personnelles avant même de disposer d’un service juridique ou d’un délégué à la protection des données. Une adresse électronique saisie dans un formulaire, un compte client, un fichier de prospects, des candidatures, des données de facturation ou des journaux de connexion relèvent potentiellement du Règlement général sur la protection des données, le RGPD.
Le sujet ne concerne donc pas uniquement les grandes organisations. Le RGPD s’applique dès qu’une structure traite des données permettant d’identifier directement ou indirectement une personne, dans le cadre de ses activités établies dans l’Union européenne ou lorsque ses services ciblent des personnes situées dans l’Union européenne.
Deux documents sont souvent confondus :
La politique de confidentialité complète ces informations à destination des personnes concernées. Elle ne remplace pas le registre et ne doit pas être confondue avec les mentions légales.
L’article 30 du RGPD prévoit que le responsable du traitement tient un registre des activités de traitement relevant de sa responsabilité. Le sous-traitant doit également tenir un registre des catégories de traitements effectués pour le compte de ses clients, dans les conditions prévues par le règlement.
Le registre n’est pas un formulaire à transmettre systématiquement à la Commission nationale de l’informatique et des libertés, la CNIL. Il s’agit d’un document interne qui doit pouvoir être présenté à l’autorité de contrôle en cas de demande. Sa fonction est opérationnelle : il permet de savoir quelles données sont utilisées, pourquoi, par quels outils et avec quelles protections.
Le registre doit refléter la réalité technique et commerciale. Une jeune entreprise peut commencer avec un tableur structuré, un document partagé avec des droits d’accès maîtrisés ou un outil de conformité. Le format importe moins que la qualité des informations, leur actualisation et la capacité à justifier les choix effectués.
La CNIL indique qu’une organisation employant moins de 250 personnes peut bénéficier d’une exemption limitée. Cette exemption ne s’applique pas lorsque les traitements sont susceptibles de présenter un risque pour les droits et libertés, lorsqu’ils ne sont pas occasionnels ou lorsqu’ils portent sur des catégories particulières de données ou des données relatives aux condamnations pénales et aux infractions. En pratique, les traitements commerciaux, clients, salariés et utilisateurs sont souvent réguliers. Une jeune entreprise a donc intérêt à tenir un registre, même lorsqu’elle pense relever de l’exemption.
Un registre utile décrit les traitements par activité, et non par écran ou par logiciel. Par exemple, un formulaire de demande de démonstration, un outil de gestion de la relation client et une campagne de prospection peuvent appartenir à une même activité commerciale, tout en utilisant plusieurs applications.
Pour chaque activité, prévoyez au minimum les rubriques suivantes :
Le registre peut aussi mentionner le service responsable, les sous-traitants associés, les applications utilisées, les risques identifiés et la date de dernière revue. Ces informations facilitent la réponse aux demandes d’exercice des droits et la préparation d’une analyse d’impact lorsqu’elle est nécessaire.
Commencez par suivre les données depuis leur collecte jusqu’à leur suppression. Examinez le site web, les applications mobiles, les formulaires, la messagerie, les outils de paiement, la facturation, le support, les ressources humaines et les appareils utilisés par les équipes.
Cette cartographie fait apparaître des traitements parfois absents des spécifications initiales : statistiques de fréquentation, fichiers exportés vers un tableur, captures d’écran du support, sauvegardes automatiques, listes d’envoi, comptes administrateurs ou journaux conservés par un prestataire technique.
Évitez de créer une ligne pour chaque champ de formulaire. Regroupez les informations qui servent un même objectif et séparez les objectifs incompatibles. Les coordonnées utilisées pour répondre à une demande ne peuvent pas être réutilisées automatiquement pour une prospection commerciale sans examiner la base légale et les règles applicables.
Pour chaque champ, demandez-vous s’il est nécessaire à la finalité annoncée. La minimisation des données prévue par l’article 5 du RGPD réduit l’exposition en cas d’incident. Une demande de date de naissance, de numéro de téléphone ou d’information professionnelle doit pouvoir être justifiée par un besoin réel.
Attribuez une personne ou une fonction chargée de la mise à jour de chaque fiche. Précisez qui valide les nouveaux outils, qui traite les demandes de droits et qui décide de la suppression des données. Cette organisation peut rester légère, mais elle doit être connue.
Réexaminez le registre lors d’un lancement de fonctionnalité, d’un changement de prestataire, d’une nouvelle campagne commerciale, d’un incident de sécurité ou d’une modification de la durée de conservation. Une revue périodique permet de repérer les traitements devenus inutiles.
La base légale explique pourquoi un traitement est autorisé. Elle ne dispense pas d’informer les personnes concernées. Une entreprise peut traiter certaines données pour exécuter un contrat, respecter une obligation légale ou poursuivre un intérêt légitime, sans demander un consentement dans chaque cas. Le choix doit toutefois être documenté et cohérent avec la finalité annoncée.
Le consentement doit être libre, spécifique, éclairé et univoque. Il doit pouvoir être retiré aussi aisément qu’il a été donné. Une case précochée ou une acceptation générale couvrant des finalités distinctes ne répond pas à ces exigences.
La prospection commerciale doit être examinée selon le canal utilisé, la nature du destinataire et les règles particulières applicables aux communications électroniques. Une inscription à un compte client ne vaut pas automatiquement accord pour toutes les campagnes marketing. Le registre doit faire apparaître la distinction entre gestion du service, prospection, mesure d’audience et personnalisation.
Pour les cookies et autres traceurs, l’analyse doit porter sur la finalité et la technologie utilisée. Les traceurs nécessitant un consentement ne doivent pas être activés avant le choix de la personne. Certaines mesures d’audience peuvent bénéficier d’une exemption lorsque les conditions fixées par la CNIL sont respectées. Cette exemption ne couvre pas tous les usages publicitaires ou de profilage.
Les mentions légales sont principalement encadrées en France par la loi du 21 juin 2004 pour la confiance dans l’économie numérique, souvent appelée LCEN. Leur contenu dépend de la forme de l’activité et de la nature du service. Elles doivent être accessibles depuis le site ou l’application, avec une présentation lisible.
Pour une activité professionnelle, les informations généralement attendues comprennent :
Les informations doivent correspondre à la situation réelle. Une adresse de contact inactive, un ancien siège, un hébergeur mal identifié ou une dénomination incomplète peuvent rendre les mentions obsolètes. Leur mise à jour doit accompagner les changements administratifs et techniques.
Les mentions légales ne doivent pas contenir de données personnelles inutiles concernant les personnes qui travaillent dans l’entreprise. Il faut afficher les informations exigées par les textes, tout en évitant une exposition excessive des coordonnées privées.
La politique de confidentialité répond à l’obligation d’information prévue par les articles 12 à 14 du RGPD. Elle doit être compréhensible, accessible au moment où les données sont collectées et adaptée aux différents parcours. Une page générique qui ne reflète pas les outils utilisés ne remplit pas correctement cet objectif.
Elle doit notamment présenter :
La politique peut être organisée en plusieurs niveaux : une information courte près du formulaire, puis une page détaillée. Cette méthode améliore la compréhension sans retirer les informations nécessaires.
Le RGPD impose de ne pas conserver les données sous une forme permettant l’identification des personnes au-delà de la durée nécessaire aux finalités du traitement, sous réserve des obligations légales d’archivage. Il n’existe pas une durée universelle valable pour tous les fichiers.
Une durée de conservation doit préciser le point de départ et le sort des données à l’échéance. Selon le cas, les données peuvent être supprimées, anonymisées ou placées en archivage intermédiaire avec un accès restreint. L’archivage ne doit pas servir de stockage permanent.
Le registre peut utiliser une formulation opérationnelle, par exemple : conservation pendant la relation contractuelle, puis archivage des pièces nécessaires au respect d’une obligation légale pendant la durée imposée par le texte applicable ; suppression des comptes inactifs après une période définie par la politique interne ; conservation des candidatures pendant une période annoncée aux candidats, sauf accord pour une durée différente.
Les durées doivent être cohérentes entre le registre, la politique de confidentialité, les paramétrages des outils et les sauvegardes. Une suppression dans l’application principale ne signifie pas toujours une disparition immédiate des copies de secours. La politique de sauvegarde doit préciser le cycle d’effacement et les mesures qui empêchent une restauration non maîtrisée.
L’article 32 du RGPD demande de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque. Pour une jeune entreprise, cela commence par une gestion rigoureuse des comptes et des accès :
Lorsqu’un prestataire traite des données pour le compte de l’entreprise, il s’agit potentiellement d’un sous-traitant au sens du RGPD. Le contrat doit encadrer les instructions, la confidentialité, la sécurité, l’assistance, les sous-traitants ultérieurs, la fin de prestation et le sort des données. La présence d’une clause RGPD dans un contrat ne dispense pas de vérifier les pratiques réelles du prestataire.
Avant d’adopter un outil, examinez ses lieux d’hébergement, ses transferts internationaux, ses fonctions d’export et de suppression, ses rôles utilisateurs, ses journaux de connexion et ses conditions de réversibilité. Ces éléments alimentent directement le registre et l’analyse de risques.
L’analyse d’impact relative à la protection des données, ou AIPD, sert à étudier les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes. Elle décrit le traitement, évalue sa nécessité et sa proportionnalité, puis recense les risques et les mesures destinées à les réduire.
La CNIL publie une liste de types de traitements pour lesquels une AIPD est requise dans certaines circonstances, ainsi qu’une liste de traitements qui n’en nécessitent généralement pas lorsqu’ils respectent les conditions prévues. L’analyse dépend du contexte, des volumes, de la sensibilité des données, de la surveillance exercée et des personnes concernées.
Une jeune entreprise doit être attentive aux projets utilisant des données sensibles, à la surveillance systématique, au profilage, à la notation de personnes, aux données de santé, aux données biométriques ou à des traitements concernant des publics vulnérables. Le registre doit indiquer l’existence de l’AIPD, ses conclusions et les mesures retenues lorsque cette analyse est réalisée.
Le registre doit être relié à une procédure de réponse. Une demande d’accès, de rectification, d’effacement, de limitation ou d’opposition peut arriver par différents canaux. L’équipe doit savoir identifier la personne, retrouver les données dans les outils concernés, vérifier les exceptions prévues par les textes et répondre dans les délais applicables.
Préparez une fiche interne indiquant :
Une violation de données personnelles peut correspondre à une perte, une destruction, une altération, une divulgation ou un accès non autorisé. Il faut documenter les faits, les effets possibles et les mesures correctives. Lorsqu’une notification à la CNIL est requise, elle doit intervenir dans les conditions et le délai prévus par l’article 33 du RGPD. Si la violation présente un risque élevé pour les personnes, une information des personnes concernées peut aussi être nécessaire selon l’article 34.
| Élément | Contrôle attendu | Document à conserver |
|---|---|---|
| Registre | Chaque finalité, catégorie de données, destinataire et durée est décrit. | Registre daté et historique des mises à jour |
| Mentions légales | L’éditeur, la publication, l’activité et l’hébergeur sont correctement identifiés. | Version publiée et justificatifs administratifs |
| Politique de confidentialité | Les bases légales, droits, durées et contacts sont expliqués. | Version publiée et validation interne |
| Formulaires | Les champs sont nécessaires et l’information est visible au moment de la collecte. | Copies d’écran et spécifications |
| Cookies et traceurs | Le dépôt et la lecture des traceurs suivent le choix de l’utilisateur. | Configuration du bandeau et preuve du consentement |
| Sous-traitants | Les rôles, garanties, transferts et conditions de fin de contrat sont vérifiés. | Contrats et fiche d’évaluation |
| Sécurité | Les accès, mises à jour, sauvegardes et incidents sont encadrés. | Procédure et résultats des contrôles |
Non. Le registre est un document interne tenu à disposition de l’autorité de contrôle. Les utilisateurs doivent en revanche recevoir une information claire sur les traitements qui les concernent, notamment dans la politique de confidentialité et au moment de la collecte.
La désignation d’un délégué à la protection des données est obligatoire dans les situations prévues par l’article 37 du RGPD, notamment lorsque les activités principales impliquent un suivi régulier et systématique des personnes à grande échelle ou un traitement à grande échelle de catégories particulières de données. En dehors de ces cas, un référent interne peut coordonner le sujet sans porter automatiquement le titre de DPO.
Non. Les mentions légales identifient principalement le responsable du service et son hébergeur. La politique de confidentialité détaille les traitements de données personnelles, leurs finalités, leurs bases légales, les droits et les durées de conservation.
Oui, à condition qu’il soit complet, protégé contre les accès non autorisés, daté et régulièrement mis à jour. Les informations qu’il contient peuvent être sensibles pour l’organisation, notamment lorsqu’elles décrivent les outils, les flux et les mesures de sécurité.
Décrivez la finalité, les données concernées, les utilisateurs, les lieux d’hébergement, les transferts éventuels, les fonctions de suppression et d’export, les mesures de sécurité et le rôle contractuel du prestataire. Mettez ensuite à jour le registre et la politique de confidentialité avant le déploiement lorsque le nouvel outil modifie l’information fournie aux personnes.
