Le RGPD s'applique-t-il aux petites entreprises ?

Introduction

La croyance selon laquelle le RGPD viserait les grandes structures est répandue et fausse. Le règlement s’applique à toute organisation traitant des données personnelles, sans seuil.

Le champ d’application

Le règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou partie, ainsi qu’au traitement non automatisé de données contenues ou appelées à figurer dans un fichier.

Aucun seuil d’effectif ni de chiffre d’affaires ne conditionne son application.

Une entreprise de trois personnes qui gère un fichier clients, envoie des newsletters et emploie des salariés met en œuvre plusieurs traitements soumis au règlement.

Ce qu’est une donnée personnelle

Toute information se rapportant à une personne physique identifiée ou identifiable.

Cette définition est plus large qu’on ne le croit. Elle couvre le nom, l’adresse électronique, le numéro de téléphone, mais aussi l’adresse IP, un identifiant de connexion, un numéro de client, une photographie, un enregistrement vocal.

Une donnée qui permet, seule ou combinée à d’autres, de remonter à une personne est une donnée personnelle.

Les traitements que toute entreprise met en œuvre

La gestion des clients et prospects : fichier commercial, historique de commandes, facturation.

La gestion du personnel : contrats, paie, congés, évaluations, candidatures reçues.

La communication : newsletters, formulaires de contact, statistiques de fréquentation.

La sécurité : contrôle d’accès, vidéosurveillance, journaux de connexion.

Chacun de ces traitements suppose une base légale, une durée de conservation, une information des personnes et des mesures de sécurité.

L’allègement pour les organismes de moins de 250 salariés

Le règlement prévoit une dispense de registre pour les organismes de moins de 250 salariés.

Cette dispense est toutefois assortie d’exceptions qui la vident largement de sa portée : elle ne joue pas lorsque le traitement est susceptible de comporter un risque pour les droits et libertés des personnes, lorsqu’il n’est pas occasionnel, ou lorsqu’il porte sur des catégories particulières de données.

Un fichier clients et une gestion de paie ne sont pas occasionnels. En pratique, la quasi-totalité des entreprises doit donc tenir un registre.

Ce qui n’est jamais allégé

Les principes fondamentaux s’appliquent sans exception : licéité du traitement, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité et confidentialité.

L’information des personnes est due dans tous les cas.

Les droits des personnes doivent être respectés, avec un délai de réponse d’un mois.

La notification des violations de données à la CNIL, dans les 72 heures, s’impose également.

Le principe de responsabilité

Le responsable de traitement doit être en mesure de démontrer la conformité.

Cette exigence déplace la charge : il ne suffit pas d’être conforme, il faut pouvoir le prouver, par une documentation tenue à jour.

C’est ce principe qui justifie le registre, les mentions d’information écrites, les contrats de sous-traitance et les traces des mesures de sécurité.

Par où commencer

Recenser les traitements réellement mis en œuvre, ce qui suppose d’interroger chaque fonction de l’entreprise.

Identifier pour chacun la finalité, la base légale, les données collectées, les destinataires et la durée de conservation.

Rédiger les mentions d’information et la politique de confidentialité.

Encadrer les prestataires qui traitent des données pour le compte de l’entreprise.

Documenter les mesures de sécurité en place.

Dimensionner la conformité à la réalité de l’activité

Une conformité proportionnée coûte peu et se construit une fois. Notre expertise RGPD et protection des données personnelles accompagne cette mise en place.

En résumé

• Aucun seuil d’effectif ou de chiffre d’affaires ne conditionne l’application du RGPD.
• Une donnée personnelle est toute information permettant d’identifier une personne, directement ou non.
• La dispense de registre en dessous de 250 salariés est neutralisée par ses exceptions.
• Principes, information, droits des personnes et notification des violations ne sont jamais allégés.
• Le principe de responsabilité impose de pouvoir démontrer la conformité, donc de la documenter.