La mise en conformité RGPD d'une entreprise est la démarche qui consiste à recenser ses traitements de données personnelles, à documenter chaque traitement et à sécuriser ces données. Elle s'impose à tout organisme depuis le 25 mai 2018, quelle que soit sa taille et quel que soit son secteur. En France, la CNIL contrôle le respect du RGPD et peut prononcer des sanctions.
Le RGPD se prouve par des documents
- Conformité RGPD : cartographie des traitements, registre à jour, sécurité des données personnelles.
- Le DPO n'est obligatoire que dans trois cas ; un pilote reste nécessaire partout.
- Violation de données : notification à la CNIL sous 72 heures. Demande d'une personne concernée : un mois.
- Le respect du RGPD se prouve par des documents, pas par une déclaration.
Ce que le règlement impose à toute entreprise
Le règlement général sur la protection des données, ou RGPD, est le texte européen 2016/679 applicable depuis le 25 mai 2018. Il vise toute entreprise, toute association et tout organisme du secteur public qui traite des données personnelles de personnes situées dans l'Union européenne. Une donnée personnelle est une information se rapportant à une personne physique identifiée ou identifiable : un nom, une adresse électronique, un numéro de client, un identifiant technique, une image. Le RGPD s'articule en France avec la loi informatique et libertés du 6 janvier 1978, que la CNIL, commission nationale de l'informatique et des libertés, est chargée de faire appliquer. Ces règles pèsent aussi sur le travail du détective privé, dont la surveillance doit rester licite pour que ses preuves soient recevables.
Responsable de traitement ou sous-traitant
La première question à trancher est celle du rôle. Le responsable de traitement est celui qui décide pourquoi et comment les données sont collectées : une entreprise qui gère son fichier de clients occupe cette place. Le sous-traitant agit pour le compte d'un autre, sur instruction : un prestataire d'hébergement, un éditeur de logiciel de gestion, une agence qui conduit une campagne de prospection commerciale. Le RGPD impose d'encadrer cette relation par un contrat qui fixe la durée, la finalité, les mesures de sécurité et le sort des données en fin de mission. Ce cadre relève du droit des contrats et de ce que le Code civil impose aux parties, dont les clauses de confidentialité et de responsabilité.
Les principes à respecter avant toute collecte
Cinq principes gouvernent chaque traitement. La licéité impose une base légale : consentement de la personne, exécution d'un contrat, obligation légale, intérêt légitime. La minimisation limite la collecte aux données réellement utiles à l'objectif poursuivi. La limitation de conservation impose une durée définie par catégorie de données, puis un effacement ou un archivage. La sécurité protège l'information contre l'accès non autorisé. La transparence oblige à informer la personne concernée en termes simples. Un organisme qui ne sait pas nommer la base légale d'un traitement n'est pas en conformité, même si ses outils sont irréprochables.
Les étapes de la mise en conformité, dans l'ordre
La CNIL publie un guide pratique en six étapes qui structure la démarche RGPD de la plupart des entreprises. Ce processus de conformité se conduit dans l'ordre : chaque étape alimente la suivante, et un plan d'action bâti sans cartographie préalable se révèle toujours incomplet.
| Étape | Ce qu'elle produit | Charge selon la taille |
|---|---|---|
| Désigner un pilote | Un référent identifié, DPO ou non | Faible |
| Cartographier les traitements | La liste des activités, des outils et des destinataires | Élevée au démarrage |
| Prioriser les actions | Un plan d'action daté et hiérarchisé | Moyenne |
| Gérer les risques | Une analyse d'impact pour les traitements sensibles | Variable selon l'activité |
| Organiser les procédures | Le traitement des demandes et des violations | Moyenne |
| Documenter | Le registre et les preuves du respect du RGPD | Continue |
La cartographie des traitements reste l'étape la plus lourde, parce qu'elle oblige à ouvrir chaque service : ressources humaines, commercial, comptabilité, informatique, site internet. Pour chaque activité, on note la finalité, les catégories de données, la durée de conservation, les destinataires et les transferts éventuels hors Union européenne. Une entreprise qui créé son activité gagne à intégrer cette démarche dès le départ, au même titre que les autres obligations juridiques à respecter pour créer son entreprise.
Le registre des traitements, le document qui prouve la démarche
Tenir un registre des traitements est l'obligation RGPD la plus visible, et souvent la seule pièce qu'un contrôle demande en premier. L'article 30 du règlement dispense les organismes de moins de 250 salariés, mais cette dispense tombe dès que le traitement n'est pas occasionnel, qu'il présente un risque pour les droits des personnes ou qu'il porte sur des données sensibles. Autrement dit, un fichier de clients exploité en continu ou une gestion de paie y entrent : en pratique, presque toutes les entreprises tiennent un registre.
Le document recense, traitement par traitement, l'objectif poursuivi, la base légale, les catégories de personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité appliquées. Il se met à jour à chaque nouvel outil, à chaque nouveau prestataire, à chaque changement de finalité. Un registre figé au jour de sa création perd sa valeur de preuve : c'est un document vivant, pas une formalité d'archive. La CNIL met à disposition un modèle gratuit qui suffit aux structures de petite taille.
Faut-il nommer un DPO, interne ou externe
Le délégué à la protection des données, ou DPO, devient obligatoire dans trois situations prévues par l'article 37 : l'organisme relève du secteur public, son activité de base implique un suivi régulier et systématique de personnes à grande échelle, ou elle porte à grande échelle sur des données sensibles ou relatives à des condamnations. Hors de ces cas, la désignation reste facultative, et la CNIL la recommande néanmoins dès que la gestion des données devient un sujet récurrent.
Le DPO informe, conseille, contrôle le respect du RGPD et sert de point de contact avec l'autorité. Il doit pouvoir exercer sans conflit d'intérêts : confier ce rôle au directeur informatique ou au responsable commercial, qui décident eux-mêmes des traitements, fragilise la fonction. Le DPO externe, mutualisé entre plusieurs structures, répond au besoin des entreprises qui n'ont ni le volume ni l'expertise RGPD nécessaires en interne. Sa désignation se déclare en ligne auprès de la CNIL, gratuitement. Quelle que soit l'organisation retenue, un professionnel identifié doit assurer le suivi du dossier : sans délégué ni référent, la démarche s'interrompt au premier changement d'équipe.
Sécuriser les données et réagir à une violation
La sécurisation des données est une obligation de moyens appréciée au regard du risque. Le règlement ne dresse pas de liste fermée d'outils : il attend des mesures proportionnées. En pratique, cela signifie une gestion rigoureuse des habilitations, une authentification solide, le chiffrement des supports mobiles et des sauvegardes, la journalisation des accès, la mise à jour des logiciels et la sensibilisation des équipes. Sécuriser les données couvre également le papier, les locaux et les prestataires, que beaucoup d'entreprises oublient dans leur plan de mise en conformité. La mise en place de ces mesures suppose d'associer les collaborateurs à leur mise en œuvre, puisque chaque poste de travail constitue un point d'entrée possible vers le système d'information.
Une violation RGPD est une perte, une divulgation ou une altération de données, accidentelle ou malveillante. Elle se notifie à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes. Lorsque le risque est élevé, les personnes concernées doivent être informées directement. Cette procédure s'écrit à froid, avant l'incident : qui décide, qui rédige, quelles preuves sont conservées. Les attaques informatiques qui déclenchent ces notifications relèvent aussi du droit numérique et des recours contre la cybercriminalité, avec un dépôt de plainte en parallèle.
Répondre aux demandes des personnes concernées
Le droit des personnes est la partie du RGPD que le public exerce directement. Le droit d'accès permet d'obtenir une copie des données détenues. La rectification corrige une information inexacte. L'effacement, souvent appelé droit à l'oubli, s'applique sous conditions, notamment lorsque le consentement est retiré. La portabilité permet de récupérer ses données dans un format structuré et lisible par machine. L'opposition vise en particulier la prospection commerciale, où elle s'exerce sans avoir à se justifier.
La demande se traite dans un délai d'un mois, prolongeable de deux mois pour les dossiers complexes, à condition d'en informer le demandeur. L'entreprise vérifie l'identité du demandeur, répond par écrit, et conserve la trace de l'échange. Un canal unique, une adresse électronique dédiée et une trame de réponse suffisent aux structures modestes. Un transfert de données vers un tiers établi hors de l'Espace économique européen suppose des garanties supplémentaires, et permettre à l'utilisateur d'exercer ses droits reste dû même lorsque les données sont hébergées ailleurs. À défaut de réponse, la personne peut saisir la CNIL, et ces plaintes constituent une part importante des contrôles engagés chaque année.
Quels risques en cas de non-conformité
Les sanctions RGPD sont graduées. La CNIL peut adresser un rappel aux obligations légales, mettre en demeure de se conformer dans un délai, ordonner la limitation ou l'arrêt d'un traitement, et prononcer des amendes administratives. L'article 83 fixe deux plafonds selon le manquement : le plus élevé atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus fort étant retenu. La CNIL publie chaque année le bilan de son activité répressive, et une partie des décisions est rendue publique, ce qui ajoute un risque d'image au risque financier.
La responsabilité juridique ne s'arrête pas à l'amende. Une personne qui subit un dommage du fait d'un traitement irrégulier peut demander réparation devant le juge civil, seule ou par une action de groupe. Certains manquements, comme le détournement de finalité ou la conservation illicite, sont par ailleurs sanctionnés pénalement par le code pénal. Enfin, un défaut de conformité pèse dans les relations commerciales : les appels d'offres et les contrats de sous-traitance exigent désormais des garanties écrites sur la protection des données.
Outils, formation et accompagnement pour tenir la démarche
Les outils de conformité RGPD servent à industrialiser ce qui, sinon, repose sur des tableurs dispersés. Un outil de mise en conformité tient le registre, relie les traitements aux applications, suit le plan d'action, garde l'historique des demandes et prépare l'analyse d'impact. La CNIL diffuse gratuitement un logiciel d'analyse d'impact et des modèles réutilisables, suffisants pour un premier niveau de besoin. Les solutions payantes se justifient à partir d'un certain volume de traitements ou lorsque plusieurs entités doivent être pilotées ensemble.
La formation RGPD reste le levier le moins coûteux et le plus rentable, car la majorité des incidents vient d'un geste ordinaire : une pièce jointe envoyée au mauvais destinataire, un fichier client copié sur une clé, un mot de passe partagé. Une sensibilisation au RGPD courte, répétée et adaptée à chaque service produit plus d'effet qu'un document exhaustif que personne ne lit. Un exemple concret parle mieux aux utilisateurs qu'un rappel abstrait : montrer comment vérifier un destinataire avant l'envoi, ou comment signaler un doute, garantit une réaction utile le jour où l'incident survient. Pour les points délicats, transferts hors Union européenne, traitements à grande échelle, contentieux naissant, le conseil RGPD d'un avocat ou l'accompagnement d'un DPO externe apporte l'expertise que l'entreprise n'a pas à porter seule. Le choix d'un cabinet juridique et des services à en attendre se pose alors dans les mêmes termes que pour tout autre dossier.
Questions fréquentes sur la conformité RGPD
Combien de temps prend une mise en conformité RGPD ?
Les étapes de mise en conformité s'étalent généralement sur plusieurs mois pour une entreprise de taille moyenne : quelques semaines pour la cartographie des traitements, puis un plan d'action qui se déroule au rythme des priorités. La conformité n'a toutefois pas de terme, puisque chaque nouvel outil et chaque nouvelle activité rouvrent le dossier.
Une petite entreprise est-elle vraiment concernée ?
Oui. Le RGPD ne fixe aucun seuil d'effectif pour son application générale ; seule l'obligation de registre connaît une dispense partielle sous 250 salariés, largement neutralisée par ses exceptions. Une entreprise de petite taille traite des données de salariés, de clients et de prospects : elle entre dans le champ du règlement.
Un audit RGPD est-il obligatoire ?
Non, aucun texte n'impose un audit RGPD. Le règlement impose de pouvoir démontrer sa conformité, ce que le registre, les procédures écrites et les analyses d'impact permettent de faire. Un audit reste un moyen utile d'objectiver la situation avant de bâtir un plan d'action.
Le consentement est-il toujours nécessaire ?
Non. Le consentement de la personne n'est que l'une des six bases légales prévues par le règlement. Un contrat, une obligation légale ou l'intérêt légitime peuvent fonder un traitement. Lorsqu'il est utilisé, le consentement doit être libre, spécifique, éclairé et aussi facile à retirer qu'à donner. Pour les données sensibles, en revanche, il faut obtenir le consentement explicite de la personne concernée.