RGPD : ce que ça change pour une petite entreprise -->
📌 En bref : le règlement général sur la protection des données encadre l’usage des informations qui permettent d’identifier une personne. Il est applicable depuis le 25 mai 2018 (règlement (UE) 2016/679, article 99). Toute structure qui tient un fichier clients, une liste d’adhérents ou un formulaire de contact entre dans son champ, y compris une entreprise d’une seule personne. En revanche, la plupart des très petites structures n’ont pas à nommer un délégué à la protection des données.
Vous notez des noms, des adresses, des numéros de téléphone, parfois des situations personnelles. Ce sont des données personnelles, et leur usage obéit à des règles précises. Le sigle reste pourtant flou pour beaucoup de dirigeants de très petites structures, souvent persuadés que le sujet ne les atteint pas. Voici ce que dit le texte, en français courant, et ce qu’il change au quotidien.
Le texte en une phrase
Le règlement général sur la protection des données est un texte européen qui remplace les lois nationales antérieures par une règle unique valable dans toute l’Union. Sa référence officielle, telle qu’elle figure au Journal officiel, est le « Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE » (texte officiel sur EUR-Lex).
Le principe de fond tient en une idée simple : celui dont on collecte les informations doit comprendre ce qui est enregistré, dans quel but, pendant combien de temps, et vers qui ces informations circulent ensuite. La CNIL résume cette logique en ces termes : « Le règlement général sur la protection des données (RGPD) responsabilise les organismes publics et privés qui traitent leurs données. » (CNIL, Comprendre le RGPD)
Le RGPD concerne-t-il une petite entreprise ?
Oui, dès qu’un fichier contient des informations sur des personnes identifiables. Un plombier qui garde le nom et le téléphone de ses clients, une association qui tient son registre d’adhérents, un site vitrine avec un simple formulaire de contact : tous relèvent du texte. Aucune exemption ne dépend de l’effectif. Ce qui varie, c’est le niveau de précaution attendu, car la règle s’adapte à ce que vous traitez, et l’organisation demandée reste simple.
Depuis quand le texte s’applique-t-il ?
L’article 99 du règlement est sans ambiguïté : « Il est applicable à partir du 25 mai 2018. » (règlement (UE) 2016/679, article 99) Les annonces alarmistes ont vite laissé place au silence. La règle, elle, n’a pas bougé.
Ce que ça change au quotidien
Trois exigences reviennent dans presque toutes les petites structures. La première concerne l’information : au moment où une personne laisse ses coordonnées, elle doit savoir ce qu’on en fera. La deuxième porte sur la durée, puisqu’une accumulation sans limite de temps n’est pas défendable. La troisième touche la sécurité, où un fichier ouvert à tous n’offre aucune garantie, ce qui commence par le choix de l’hébergement quand les données sont en ligne.
Beaucoup imaginent ensuite une paperasse de cabinet juridique. Aucun texte n’exige ce niveau de formalisme. Un tableau simple, où figurent les fichiers utilisés, leur contenu, leur finalité et leur durée de conservation, suffit à répondre aux questions d’un contrôleur. Le détail de ces obligations, dossier par dossier, est décrit dans les obligations concrètes pour une TPE. Mieux vaut ce document imparfait mais à jour qu’un dossier théorique jamais ouvert.
Faut-il un délégué à la protection des données ?
Pour la plupart des petites structures, la réponse est non. Ce délégué, souvent désigné par son sigle anglais de DPO, est obligatoire pour les organismes publics, pour le suivi régulier et systématique de personnes à grande échelle, et pour les données de santé. Ce délégué n’est pas obligatoire pour vous. En cas de doute, la CNIL publie une méthode : « la CNIL propose un plan d’action en 4 étapes ainsi que des bons réflexes à adopter » (RGPD : par où commencer ?).
Que risque-t-on vraiment ?
Il faut distinguer la menace réelle de l’épouvantail. L’amende reste l’exception : elle arrive après un avertissement ou une mise en demeure. Cela ne dispense pas de sérieux, car le plafond prévu par le texte est élevé : des amendes administratives pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (règlement (UE) 2016/679, article 83).
Par où commencer sans se noyer ?
Commencez par ce que vous avez déjà sous la main. Listez les endroits où dorment des informations sur des personnes, qu’il s’agisse d’un classeur ou d’un logiciel de facturation, puis notez la raison de leur présence. Supprimez ce qui n’a plus d’utilité, verrouillez ce qui reste, et préparez une phrase claire à lire aux personnes qui vous confient leurs coordonnées.
Questions fréquentes
Une association loi 1901 est-elle concernée ?
Oui. Une association qui gère une liste d’adhérents, de bénévoles ou de donateurs traite des données personnelles au même titre qu’une entreprise, et son caractère non lucratif ne crée aucune exemption.
Faut-il l’accord de chaque client pour conserver son adresse ?
Pas toujours. Une adresse nécessaire à l’établissement d’un devis ou d’une facture repose sur l’exécution du contrat, sans consentement à demander. En revanche, réutiliser cette adresse pour prospecter un particulier suppose son accord préalable.
Combien de temps peut-on garder un fichier clients ?
Il n’existe pas de durée unique pour tous les fichiers. La règle consiste à conserver les informations aussi longtemps que le justifie l’usage annoncé, puis à les supprimer. Pour les pièces comptables, les durées légales de conservation s’appliquent.
Faut-il déclarer ses fichiers à la CNIL ?
Non. Le régime des déclarations préalables a disparu avec l’entrée en application du règlement. Il reste une obligation de tenir la liste de ses traitements et d’être en mesure de la présenter.
Que faire si une personne demande la suppression de ses données ?
Il faut répondre, dans un délai raisonnable, et supprimer ce qui peut l’être. Une facture, par exemple, doit rester conservée pour respecter les obligations comptables. La réponse explique alors ce qui est effacé et ce qui est maintenu.
Un site sans formulaire est-il concerné ?
Rarement pas du tout. Un site qui dépose des cookies de mesure d’audience ou qui intègre un outil de prise de contact collecte déjà des données, et le sujet rejoint alors celui du suivi et du consentement. Un site purement vitrine, sans outil de suivi, reste en dehors du sujet.
Sources
Texte officiel du règlement (UE) 2016/679 publié sur EUR-Lex
Article publié à l'origine sur Normandie Digital : RGPD : ce que ça change pour une petite entreprise — analyses et données vérifiées sur le numérique pour les TPE et PME.
Top comments (0)