Toute structure qui gère une paie, un fichier client ou une liste de diffusion traite des données personnelles, et se trouve donc concernée. Les obligations RGPD de base ne dépendent ni de la taille de l’organisation ni de son secteur : une association de vingt adhérents relève du même cadre qu’un groupe international, avec des modalités simplement proportionnées à ses moyens. Ce qui varie, c’est le volume de documentation attendu, jamais le principe.
La difficulté tient rarement à la complexité du texte. Elle vient de la dispersion : les fichiers vivent dans une messagerie, un tableur partagé, un logiciel métier, un outil d’envoi de courriels et parfois le téléphone personnel d’un salarié. Reprendre la main suppose d’abord de savoir ce que l’on détient, avant même de parler de conformité.
Les obligations RGPD de base : un socle en cinq blocs
Le règlement se laisse résumer en cinq engagements pratiques. Savoir ce que l’on traite, justifier pourquoi on le traite, informer les personnes, leur permettre d’agir sur leurs données, protéger l’ensemble. Chaque bloc produit une trace écrite, et c’est cette trace qui constitue la preuve attendue en cas de contrôle.
Le principe qui gouverne l’ensemble s’appelle la responsabilité. L’organisation n’attend aucune autorisation préalable pour traiter des données, mais elle doit pouvoir démontrer à tout moment que ses pratiques respectent le cadre. Cette inversion change la nature de l’exercice : il ne s’agit pas de remplir un formulaire une fois, mais de tenir une documentation vivante.
Deux notions structurent les rôles. Le responsable de traitement décide des finalités et des moyens ; le sous-traitant agit pour son compte, sur instruction. Un prestataire de paie, un hébergeur ou un outil d’envoi de messages sont des sous-traitants, et le contrat qui les lie doit prévoir des clauses précises sur la sécurité, la confidentialité et le sort des données en fin de relation. Cette qualification se pose au début de chaque nouvelle relation, jamais après un incident.
Cartographier : le registre des activités de traitement
Le registre constitue la pièce maîtresse, et le point de départ de toute démarche sérieuse. Il recense chaque traitement, avec sa finalité, les catégories de personnes et de données concernées, les destinataires, la durée de conservation et les mesures de sécurité appliquées. Un tableur bien tenu suffit largement pour une petite structure.
Les organisations de moins de deux cent cinquante salariés bénéficient d’un allègement théorique, mais celui-ci tombe dès que le traitement n’est pas occasionnel, qu’il présente un risque pour les personnes ou qu’il porte sur des données sensibles. En pratique, la gestion du personnel et le fichier client remplissent ces conditions : presque toutes les structures tiennent donc un registre.
L’exercice révèle systématiquement des traitements oubliés. Le fichier des candidatures spontanées conservé depuis cinq ans, la liste de diffusion héritée d’un ancien site, les enregistrements d’un standard téléphonique, les copies de pièces d’identité stockées dans un dossier partagé. Chaque ligne ajoutée pose la même question, à laquelle il faut répondre franchement : pourquoi conservons-nous encore cela ?
Fonder chaque traitement et informer les personnes
Un traitement sans base légale est irrégulier, quelle que soit sa légitimité apparente. Le règlement en prévoit plusieurs : l’exécution d’un contrat couvre la relation client, l’obligation légale couvre la comptabilité et la paie, l’intérêt légitime couvre la prospection vers des professionnels ou la sécurité des locaux, le consentement couvre l’envoi d’une lettre d’information à des particuliers. Le choix se documente traitement par traitement, il ne se décide pas globalement.
Le consentement obéit à des exigences précises : libre, spécifique, éclairé, révocable aussi simplement qu’il a été donné. Une case précochée ne vaut rien, pas plus qu’un accord obtenu en échange d’un service sans rapport. Lorsque le consentement n’est pas requis, s’en réclamer par prudence crée un piège : la personne peut le retirer à tout moment, ce qui fragilise un traitement qui reposait en réalité sur une autre base.
L’information ferme ce deuxième bloc. Elle intervient au moment de la collecte, dans un langage clair, et couvre l’identité du responsable, les finalités, la base légale, les destinataires, la durée de conservation et les droits ouverts. Une politique de confidentialité accessible, complétée par une mention courte sur chaque formulaire, remplit cette exigence sans alourdir les parcours.
Répondre aux demandes : délais et modalités
Les personnes disposent de droits qu’elles exercent sans avoir à motiver leur démarche. Les traiter correctement suppose de connaître les délais et les limites applicables.
| Droit exercé | Ce que l’organisation doit faire | Délai de réponse |
|---|---|---|
| Accès aux données | Fournir une copie des données détenues | Un mois, prolongeable |
| Rectification | Corriger une donnée inexacte ou incomplète | Un mois |
| Effacement | Supprimer, sauf obligation de conservation | Un mois |
| Opposition | Cesser le traitement, sauf motif impérieux | Un mois |
| Limitation | Geler l’usage sans supprimer | Un mois |
| Portabilité | Restituer dans un format lisible par machine | Un mois |
| Retrait du consentement | Arrêter immédiatement le traitement fondé sur lui | Sans délai |
Le délai d’un mois court à compter de la réception de la demande et peut être prolongé de deux mois lorsque la demande est complexe, à condition d’en informer la personne dans le premier mois. Un refus reste possible, mais il se motive et s’accompagne de la mention des voies de recours, notamment la réclamation auprès de la CNIL.
Certaines demandes appellent une vérification d’identité, sans excès : réclamer une copie de pièce d’identité pour une simple désinscription est disproportionné. La traçabilité des demandes protège l’organisation autant que les personnes, car elle démontre que le circuit fonctionne. Un simple tableau de suivi, avec date de réception, nature de la demande et date de réponse, suffit à établir cette preuve.
Sécuriser, limiter, documenter
La sécurité ne se limite pas à l’informatique. Elle combine des mesures techniques, comme le chiffrement des postes portables, la robustesse des comptes ou la sauvegarde testée, et des mesures d’organisation, comme la limitation des accès aux seules personnes concernées. Les fondamentaux de l’authentification jouent ici un rôle direct, et nos repères sur les mots de passe et la double authentification constituent une entrée concrète dans le sujet.
La minimisation produit souvent les gains les plus rapides. Collecter uniquement ce qui sert, supprimer ce qui a cessé de servir, purger les archives selon un calendrier écrit : chaque donnée effacée est une donnée qui ne fuitera jamais. Les durées de conservation se fixent par catégorie, se documentent dans le registre et s’appliquent réellement, ce qui suppose souvent d’automatiser la purge plutôt que de compter sur une bonne volonté annuelle.
Certains projets appellent une analyse d’impact préalable, lorsqu’ils présentent un risque élevé pour les personnes : surveillance systématique d’une zone, traitement à grande échelle de données sensibles, croisement massif de fichiers. Cette étude décrit le traitement, évalue la nécessité, identifie les risques et les mesures qui les réduisent. Elle rejoint directement les questions posées par un dispositif de vidéoprotection, qui figure parmi les cas les plus fréquents.
Qui pilote : référent interne ou délégué
La désignation d’un délégué à la protection des données s’impose aux organismes publics, ainsi qu’aux structures dont l’activité principale conduit à un suivi régulier et systématique des personnes à grande échelle, ou au traitement à grande échelle de données sensibles. Hors de ces cas, la désignation reste facultative, mais utile dès que le volume de données devient significatif.
Le transfert de données hors de l’Union européenne appelle une vigilance supplémentaire, souvent ignorée parce qu’il se produit sans décision explicite. Choisir un outil d’envoi de courriels, un espace de stockage en ligne ou un service d’assistance revient fréquemment à confier des données à un prestataire dont les serveurs se trouvent ailleurs. Ces situations restent possibles, mais elles supposent un encadrement contractuel adapté et une mention dans l’information donnée aux personnes. La question se pose avant la signature, car changer d’outil après un déploiement coûte infiniment plus cher que le vérifier au moment du choix.
Les structures qui ne relèvent pas de l’obligation gagnent à nommer un référent interne, même à temps partiel. Son rôle consiste à tenir le registre, à recevoir les demandes des personnes, à relire les nouveaux projets et à servir de point de contact. Cette fonction demande de la constance plus que de l’expertise juridique, et elle se combine sans difficulté avec la personne qui suit déjà les questions techniques.
Le pilotage se complète par un dispositif de réaction. Savoir qui décide, dans quel ordre agir et quelles traces conserver fait la différence lorsqu’un incident survient : les premiers réflexes après une fuite de données se préparent à froid, car le règlement impose des délais très courts une fois la violation connue.
Les sanctions financières prévues par le règlement atteignent des montants élevés, mais les contrôles se concluent bien plus souvent par une mise en demeure. Ce qui pèse alors, c’est la capacité à montrer un registre tenu, des durées appliquées et des demandes traitées. Une conformité modeste mais réelle vaut mieux qu’un dossier épais rédigé une fois et jamais rouvert.