L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Quelles sont les obligations minimales pour être conforme au RGPD ?
Registre, bases légales, information, durées, sécurité, sous-traitance et procédure de droits : le socle applicable à toute organisation.
Registre, bases légales, information, durées, sécurité, sous-traitance et procédure de droits : le socle applicable à toute organisation.
Introduction
La conformité au RGPD n’est pas un document que l’on télécharge, mais un ensemble cohérent d’éléments dont chacun répond à une exigence précise. Voici ce socle, dans l’ordre où il se construit.
Le recensement des traitements
C’est le point de départ obligé.
Il consiste à identifier, fonction par fonction, ce qui est fait des données personnelles : gestion commerciale, marketing, ressources humaines, comptabilité, sécurité, informatique.
Pour chaque traitement, il faut déterminer la finalité poursuivie, les catégories de données collectées, les personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité.
Ce travail alimente le registre et révèle les traitements non conformes.
Les bases légales
Chaque traitement doit reposer sur l’une des bases prévues : consentement, exécution d’un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public, ou intérêt légitime.
Le choix n’est pas indifférent. Il détermine les droits ouverts aux personnes, notamment le droit d’opposition, qui n’existe pas de la même manière selon la base retenue.
Une erreur fréquente consiste à invoquer le consentement là où l’exécution du contrat ou l’intérêt légitime s’imposent, ce qui fragilise le traitement : un consentement retiré oblige à cesser le traitement.
Le registre des traitements
Il matérialise le recensement et constitue la première pièce demandée en cas de contrôle.
Il comporte notamment les finalités, les catégories de personnes et de données, les destinataires, les transferts hors Union européenne, les durées de conservation et une description générale des mesures de sécurité.
Il doit être tenu à jour, ce qui suppose de le réviser lors de tout nouveau traitement ou changement d’outil.
L’information des personnes
Elle est due au moment de la collecte, dans un langage clair et accessible.
Elle porte sur l’identité du responsable, les finalités, la base légale, les destinataires, les durées de conservation, les droits des personnes et les modalités de leur exercice, ainsi que sur les transferts éventuels.
Elle se matérialise par des mentions d’information sur les formulaires et par une politique de confidentialité accessible.
Les durées de conservation
Chaque traitement doit avoir une durée définie, justifiée par la finalité poursuivie.
Ces durées doivent être appliquées effectivement, ce qui suppose des procédures de purge ou d’archivage. Un registre mentionnant des durées jamais mises en œuvre ne démontre aucune conformité.
L’encadrement de la sous-traitance
Tout prestataire traitant des données pour le compte de l’entreprise doit être lié par un contrat comportant les mentions requises : objet, durée, nature et finalité du traitement, obligations et droits du responsable, et engagements du sous-traitant.
Hébergeur, éditeur de logiciel en ligne, prestataire de paie, agence marketing, service de messagerie : la liste est plus longue qu’il n’y paraît.
La sécurité
Des mesures techniques et organisationnelles appropriées au risque doivent être mises en œuvre : gestion des accès, authentification, chiffrement lorsque nécessaire, sauvegardes, journalisation, sensibilisation du personnel.
Leur documentation compte autant que leur existence, au titre du principe de responsabilité.
Les procédures
Deux procédures doivent exister et être connues des équipes.
La gestion des demandes d’exercice de droits, avec un délai de réponse d’un mois.
La gestion des violations de données, avec une notification à la CNIL dans les 72 heures lorsque les conditions sont réunies.
Ces procédures se préparent à froid : improvisées dans l’urgence, elles conduisent à dépasser les délais.
Construire un socle proportionné
Une conformité de façade coûte autant qu’une conformité réelle et ne protège pas. Notre expertise RGPD et protection des données personnelles construit ces dispositifs.
En résumé
- Commencer par le recensement des traitements : il alimente tout le reste.
- Choisir la base légale avec soin : elle détermine les droits ouverts aux personnes.
- Registre, mentions d’information, durées appliquées et contrats de sous-traitance forment le socle documentaire.
- Les mesures de sécurité doivent être documentées autant que mises en œuvre.
- Préparer à froid les procédures de gestion des droits et des violations.
Questions fréquentes
Par quoi commencer une mise en conformité ?
Par le recensement des traitements. On ne peut pas documenter, informer ni sécuriser ce que l'on n'a pas identifié. Le registre constitue à la fois le point de départ et le support de toute la démarche.
Faut-il un document unique de conformité ?
Non. La conformité repose sur un ensemble : registre, mentions d'information, politique de confidentialité, contrats de sous-traitance, procédure de gestion des droits et des violations, mesures de sécurité documentées.
Combien de temps prend une mise en conformité ?
Quelques semaines pour une structure simple, plusieurs mois pour une organisation traitant des données sensibles ou reposant sur de nombreux prestataires. L'essentiel est de traiter d'abord les traitements à risque.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
