Mise en conformité RGPD : par où commencer quand tout semble urgent
Le règlement UE 2016/679, dit RGPD, est entré en application le 25 mai 2018. Depuis, toute entreprise, association ou collectivité qui collecte ou traite des données à caractère personnel de résidents de l’Union européenne est soumise à ses obligations. La CNIL, autorité de contrôle française, dispose d’un pouvoir de sanction effectif : les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Face à l’étendue des obligations, il faut prioriser. Ce guide vous présente les étapes à engager en premier pour assurer la conformité de votre organisation.
Ce qu’il faut retenir
- Le RGPD s’applique à tout organisme traitant des données personnelles de personnes physiques situées dans l’UE, quelle que soit la taille de la structure.
- La première obligation concrète est la tenue d’un registre des activités de traitement (article 30 du RGPD).
- Chaque traitement doit reposer sur une base légale parmi les six prévues par le règlement.
- Les entreprises de moins de 250 salariés bénéficient d’une exemption partielle pour le registre, limitée aux traitements non occasionnels ou portant sur des données sensibles.
- La CNIL propose des modèles, outils et formations gratuits pour accompagner la démarche.
Étape 1 : recenser vos traitements de données dans un registre
Avant toute action corrective, vous devez savoir ce que votre entreprise fait réellement des données personnelles qu’elle détient. L’article 30 du RGPD impose au responsable de traitement de tenir un registre des activités de traitement. Ce document n’est pas une formalité administrative : c’est la colonne vertébrale de votre conformité et le point de départ de tout audit sérieux.
Pour chaque traitement recensé, le registre doit mentionner les finalités poursuivies, les catégories d’individus concernés, les catégories de données traitées, les destinataires, les durées de conservation et les mesures de sécurité en place. Si votre entreprise opère des traitements pour le compte de clients, un second registre dit « registre du sous-traitant » est requis au titre de l’article 28 du RGPD.
La CNIL met à disposition un modèle de registre téléchargeable sur son site, compatible avec plusieurs formats. Les entreprises de moins de 250 salariés ne sont pas tenues d’inscrire les traitements strictement occasionnels, à condition que ces traitements ne portent pas sur des données sensibles et ne présentent pas de risque pour les droits des personnes.
Identifier les données personnelles collectées
Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne physique : nom, adresse e-mail, numéro de téléphone, adresse IP, photo, numéro de sécurité sociale ou encore identifiant client. Le croisement de plusieurs données peut suffire à rendre une personne identifiable, même si aucune donnée isolée ne l’est.
Certaines catégories sont qualifiées de données sensibles et appellent des mesures renforcées : données révélant l’origine raciale ou ethnique, les opinions politiques, religieuses ou philosophiques, l’appartenance syndicale, les données de santé, d’orientation sexuelle, génétiques ou biométriques, ainsi que les données relatives aux infractions et condamnations pénales. Leur traitement est en principe interdit, sauf exceptions prévues par le RGPD.
Étape 2 : définir une base légale pour chaque traitement
Tout traitement de données à caractère personnel doit reposer sur l’une des six bases légales définies à l’article 6 du RGPD. L’absence de base légale constitue une violation caractérisée du règlement. Le choix de la base légale n’est pas libre : il dépend de la nature du traitement et du contexte dans lequel il s’inscrit.
- Le consentement : la personne concernée a donné son accord de manière libre, spécifique, éclairée et univoque.
- L’exécution d’un contrat : le traitement est nécessaire à l’exécution d’un contrat auquel la personne est partie.
- L’obligation légale : le traitement est imposé par une disposition légale ou réglementaire.
- La sauvegarde des intérêts vitaux : cas limités, notamment dans les situations d’urgence médicale.
- La mission d’intérêt public : applicable principalement aux organismes publics.
- L’intérêt légitime : le responsable de traitement ou un tiers poursuit un intérêt légitime, sous réserve qu’il ne prédomine pas sur les droits des personnes concernées.
Le consentement est souvent invoqué par défaut, alors qu’il n’est pas toujours la base la plus adaptée. Un traitement de données salariales dans le cadre de la gestion de la paie repose sur l’obligation légale, pas sur le consentement du salarié. Mal choisir la base légale expose l’entreprise à un risque de mise en demeure par la CNIL.
Étape 3 : organiser la gestion et la sécurité des données
La conformité ne se limite pas à la documentation. Elle exige des mesures techniques et organisationnelles proportionnées aux risques que les traitements font peser sur les droits et libertés des individus. Une bonne organisation interne est indispensable pour que ces mesures soient effectivement appliquées au quotidien.
Mettre en place une durée de conservation appropriée
Les données ne peuvent pas être conservées indéfiniment. Le RGPD impose de fixer, pour chaque traitement, une durée justifiée par la finalité poursuivie. Passé ce délai, les données doivent être supprimées ou anonymisées. La CNIL distingue trois phases dans ce processus : la durée d’utilité courante (accès fréquent), l’archivage intermédiaire (accès rare, justifié par des obligations légales ou contentieuses) et l’archivage définitif ou la suppression.
À titre d’exemple, les données de prévention de la délinquance traitées par certaines collectivités ne peuvent être conservées au-delà de 25 ans, et doivent être supprimées 3 ans après la fin du suivi de la personne concernée.
Garantir la sécurité et la confidentialité des données
L’article 32 du RGPD impose la mise en œuvre de mesures de sécurité techniques et organisationnelles adaptées au niveau de risque. Parmi les mesures de base : mise à jour régulière des logiciels et antivirus, gestion rigoureuse des mots de passe, chiffrement des données sensibles, limitation des accès au strict besoin d’en connaître. En cas de violation de données, l’article 33 impose une notification à la CNIL dans un délai de 72 heures suivant la prise de connaissance de l’incident.
La formation des collaborateurs est souvent le maillon faible en matière de sécurité. La CNIL propose un MOOC gratuit intitulé « L’atelier RGPD », accessible à tous, qui couvre les bases réglementaires et les bonnes pratiques opérationnelles. Intégrer ce type de formation dans les parcours d’intégration et les plans de formation annuels réduit significativement le risque d’erreur humaine.
Étape 4 : respecter les droits des personnes concernées
Le RGPD confère aux personnes physiques un ensemble de droits sur leurs données : droit d’accès, de rectification, d’effacement (dit « droit à l’oubli »), d’opposition, de limitation du traitement et de portabilité. Votre entreprise doit être en mesure de répondre à ces demandes dans un délai d’un mois, prorogeable de deux mois supplémentaires en cas de complexité.
Informer et obtenir le consentement
À chaque collecte de données, les personnes concernées doivent être informées de l’identité du responsable de traitement, des finalités poursuivies, de la base légale, des destinataires, des durées de conservation et des modalités d’exercice de leurs droits. Ces informations peuvent figurer dans une politique de confidentialité accessible depuis chaque formulaire de collecte. La CNIL met à disposition des modèles de mentions d’information sur son site officiel.
En 2018, 74 % des plaintes reçues par la CNIL portaient sur des difficultés pratiques dans l’exercice des droits : absence de réponse, refus non motivé ou absence de procédure en ligne. Mettre en place un canal dédié aux demandes d’exercice de droits est une obligation, pas une option. Le respect de ces droits est aussi un levier de confiance vis-à-vis de vos clients et partenaires.
Les risques encourus en cas de non-conformité
La CNIL dispose d’un pouvoir de contrôle et de sanction. En cas de manquement, elle peut prononcer un avertissement, une mise en demeure, une injonction de cesser le traitement ou une sanction pécuniaire. Les montants sont encadrés par le RGPD :
- Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les violations relatives aux obligations du responsable de traitement (registre, sécurité, notification de violation).
- Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les violations des principes fondamentaux (bases légales, droits des personnes, transferts hors UE).
Ces plafonds ne sont pas théoriques. Ces dernières années, plusieurs entreprises françaises et européennes ont fait l’objet de sanctions significatives pour des manquements aux obligations de sécurité ou d’information. La CNIL publie l’ensemble de ses décisions de sanction sur son site, ce qui permet d’identifier les types de violations les plus fréquemment sanctionnés.
Au-delà des amendes, une mise en demeure publique ou une injonction de cesser un traitement peut désorganiser profondément l’activité d’une entreprise. Le risque réputationnel s’ajoute au risque financier, en particulier pour les organisations qui traitent des données à grande échelle.
Désigner un DPO : obligation ou choix stratégique ?
La désignation d’un délégué à la protection des données (DPO) est obligatoire pour les autorités et organismes publics, pour les organismes dont l’activité principale consiste en des opérations de traitement à grande échelle de données sensibles, et pour les organismes qui suivent à grande échelle des personnes de manière systématique. Pour les autres structures, la désignation d’un DPO reste une bonne pratique.
Le DPO peut être interne ou externe. Un DPO externe, souvent un cabinet spécialisé, permet aux TPE et PME d’accéder à un accompagnement juridique et technique sans recruter. Sa désignation s’effectue directement sur le site de la CNIL via un formulaire en ligne. Une fois désigné, le DPO est l’interlocuteur privilégié de la CNIL et le garant interne de la conformité.
Pilotez votre conformité RGPD avec Qontinua
Avec Qontinua, centralisez votre registre des activités de traitement et les informations indispensables à votre conformité RGPD : finalités, bases légales, catégories de données, durées de conservation, destinataires ou encore mesures de sécurité. Vous disposez ainsi d’un référentiel unique et structuré plutôt que de multiplier les fichiers de suivi.
La plateforme permet également de piloter les éléments qui gravitent autour du registre : tiers et sous-traitants, documents, violations de données, analyses d’impact et plans d’actions. Chaque action peut être attribuée, suivie et historisée afin de conserver une traçabilité claire de votre démarche de conformité.
Résultat : une conformité RGPD plus simple à maintenir dans le temps, des informations plus faciles à retrouver en cas de contrôle et une meilleure coordination entre le DPO, les responsables de traitement et les équipes concernées.
