Le RGPD expliqué simplement : définition, mise en œuvre et responsabilités à connaître

Une PME industrielle qui fabrique des pièces mécaniques et qui vient de découvrir qu’elle traite des données personnelles pour le compte d’un client donneur d’ordres se retrouve du jour au lendemain avec des obligations juridiques précises. Le RGPD ne concerne pas uniquement les géants du numérique : il s’applique à toute structure qui collecte, stocke ou manipule des informations permettant d’identifier une personne physique. Fiches de paie, fichiers clients, badges d’accès, caméras de vidéosurveillance sur un site de production : autant de traitements qui tombent sous le coup du règlement européen.

Pour un directeur administratif et financier, ce sujet arrive souvent par la voie contractuelle, lorsqu’un client demande la signature d’un accord de sous-traitance de données. La question devient alors très concrète : que doit-on documenter, sécuriser et prouver ? Cet article répond point par point aux interrogations qui se posent réellement dans une entreprise industrielle ou de services, sans détour juridique inutile.

En bref :

• Le RGPD s’applique à toute entreprise qui traite des données personnelles, quelle que soit sa taille, dès qu’elle est établie dans l’Union européenne ou cible des résidents européens.
• Être qualifié de sous-traitant au sens du RGPD implique la signature obligatoire d’un contrat encadrant le traitement (DPA), sans exception possible.
• Le consentement n’est qu’une des six bases légales permettant de traiter des données personnelles, et n’est pas toujours la plus adaptée en contexte B2B.
• Les amendes peuvent atteindre 4 % du chiffre d’affaires mondial ou 20 millions d’euros, selon le montant le plus élevé.
• La mise en œuvre d’une conformité RGPD repose sur cinq étapes structurantes : désignation d’un référent, cartographie, mesures techniques, documentation, suivi annuel.

Qu’est-ce que le RGPD et pourquoi votre entreprise est-elle concernée ?

Le RGPD, ou Règlement Général sur la Protection des Données, encadre le traitement des données personnelles sur le territoire de l’Union européenne depuis mai 2018. Ce texte prolonge la loi française Informatique et Libertés de 1978, mais avec une portée bien plus large et des sanctions nettement plus lourdes. Il s’agit d’un règlement européen, donc directement applicable dans les 27 États membres sans besoin de transposition nationale.

Une entreprise industrielle qui exporte ses produits hors Europe reste soumise au RGPD dès lors qu’elle traite des données de salariés ou de clients européens. Une société établie en Asie qui vend via un site e-commerce en français à des consommateurs français doit également s’y conformer. La condition territoriale ne dépend donc pas du siège social, mais du lieu où résident les personnes concernées.

Aucune exception liée à la taille de l’entreprise

Beaucoup de dirigeants pensent qu’une PME de 40 salariés échappe à ce cadre réglementaire, pensé selon eux pour les multinationales. C’est faux : la CNIL a déjà sanctionné des professions libérales, des artisans et de petites structures industrielles. La taille de l’organisme n’entre jamais en compte dans l’application du règlement.

Consultez la page de référence de la CNIL sur la compréhension du RGPD pour vérifier votre niveau d’exposition actuel. Cette action simple permet souvent de lever un doute qui traîne depuis des mois dans un service administratif.

Qu’est-ce qu’une donnée personnelle dans le contexte d’une PME ?

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Un nom, une adresse email nominative ou un numéro de sécurité sociale identifient directement. Un numéro client, une plaque d’immatriculation ou une adresse IP identifient indirectement, mais restent des données personnelles à part entière.

Dans un atelier de production, les badges d’accès, les plannings nominatifs affichés dans les vestiaires et les fichiers de paie constituent tous des traitements de données personnelles. Un fichier ne contenant que des coordonnées génériques d’entreprises, comme un standard téléphonique ou une adresse email de contact commercial, n’entre en revanche pas dans ce périmètre.

Le cas particulier des données sensibles

Certaines catégories de données bénéficient d’une protection renforcée : origine ethnique, opinions politiques, données de santé, orientation sexuelle. Une PME industrielle peut être concernée sans le savoir, par exemple via le suivi médical des visites d’aptitude au poste de travail. Ces informations exigent des mesures de sécurité supérieures à celles appliquées à un simple fichier fournisseur.

Le service ressources humaines qui gère les arrêts de travail ou les demandes d’aménagement de poste manipule ainsi des données sensibles sans forcément l’identifier comme tel. Une revue régulière des flux RH permet d’éviter les angles morts de la conformité.

Sous-traitant RGPD : quelles sont vos obligations concrètes ?

Être qualifié de sous-traitant signifie que votre entreprise traite des données personnelles pour le compte d’un autre organisme, appelé responsable de traitement. Un prestataire de maintenance industrielle qui accède à distance aux systèmes informatiques d’un client, ou un cabinet comptable qui gère la paie d’une entreprise tierce, entrent typiquement dans cette catégorie.

La conséquence directe est l’obligation de signer un contrat de sous-traitance de données, souvent appelé DPA (Data Processing Agreement). Ce document précise la nature des traitements, leur durée, les mesures de sécurité exigées et les modalités de restitution ou de destruction des données à la fin du contrat. Refuser de signer ce contrat n’est pas une option envisageable juridiquement.

Ce que le contrat de sous-traitance doit contenir

L’article 28 du RGPD liste précisément les clauses obligatoires : objet et durée du traitement, nature des données, obligations de confidentialité du personnel, mesures de sécurité, et conditions de recours à un sous-traitant ultérieur. Une entreprise industrielle qui délègue une partie de sa production à un partenaire doit vérifier que ce dernier respecte les mêmes exigences.

Le guide complet publié sur le périmètre et les principes du RGPD détaille les responsabilités croisées entre responsable de traitement et sous-traitant. Une lecture attentive de ce document évite bien des malentendus contractuels lors des négociations avec les clients donneurs d’ordres.

La chaîne de sous-traitance et le risque en cascade

Si votre entreprise fait elle-même appel à un prestataire informatique hébergé aux États-Unis, la question du Cloud Act et de son impact sur la conformité RGPD devient pertinente. Un transfert de données hors Union européenne nécessite des garanties supplémentaires, comme des clauses contractuelles types validées par la Commission européenne.

Vérifiez dès maintenant la liste de vos prestataires qui manipulent des données personnelles pour votre compte et identifiez lesquels sont eux-mêmes sous-traitants ultérieurs.

Le consentement est-il toujours obligatoire pour traiter des données ?

Le consentement n’est qu’une base légale parmi six possibles pour justifier un traitement de données personnelles. L’exécution d’un contrat, le respect d’une obligation légale, la sauvegarde d’intérêts vitaux, une mission d’intérêt public et l’intérêt légitime constituent les cinq autres fondements reconnus par le règlement.

Dans une relation B2B classique, la base légale la plus fréquente reste l’exécution contractuelle : collecter le nom et l’email d’un contact client pour honorer une commande ne nécessite pas de consentement explicite. En revanche, l’envoi d’une newsletter marketing à un prospect exige un consentement libre, spécifique, éclairé et univoque.

Les quatre critères d’un consentement valide

Un consentement obtenu par une case pré-cochée sur un formulaire n’a aucune valeur juridique. La personne doit poser un acte positif clair, sans ambiguïté possible sur sa volonté. Elle doit également pouvoir retirer ce consentement aussi facilement qu’elle l’a donné.

Une entreprise industrielle qui collecte des données via un formulaire de contact sur son site vitrine doit vérifier que ce formulaire respecte ces quatre critères. Le guide disponible sur les définitions essentielles du RGPD propose des exemples concrets applicables à ce type de situation courante.

L’intérêt légitime, une alternative souvent négligée

L’intérêt légitime permet de traiter des données sans consentement, à condition de démontrer que cet intérêt ne porte pas atteinte disproportionnée aux droits des personnes concernées. La vidéosurveillance d’un site industriel pour sécuriser les biens et les personnes relève typiquement de ce fondement. Une analyse de mise en balance des intérêts doit néanmoins être documentée et conservée.

Quelles mesures de sécurité des données devez-vous mettre en place ?

La sécurité des données personnelles constitue l’un des sept principes fondamentaux du règlement. Des mesures techniques et organisationnelles doivent protéger les informations contre la perte, l’accès non autorisé ou la destruction accidentelle. Un fichier Excel de paie stocké sur un poste partagé sans mot de passe constitue une faille classique en PME.

Le chiffrement des données sensibles, la gestion rigoureuse des droits d’accès et la sauvegarde régulière des systèmes font partie des mesures techniques attendues. Sur le plan organisationnel, une charte informatique signée par chaque salarié et une procédure claire de gestion des incidents complètent le dispositif.

Que faire en cas de violation de données ?

Une violation de données doit être notifiée à la CNIL dans un délai de 72 heures après sa découverte, dès lors qu’elle présente un risque pour les personnes concernées. Un vol de portable contenant le fichier clients non chiffré, ou un piratage du serveur RH, déclenche cette obligation de notification. Les personnes concernées doivent elles-mêmes être informées si le risque est élevé, par exemple en cas de fuite de données bancaires.

Le site de référence du ministère de l’Économie sur la cybersécurité propose des recommandations pratiques adaptées aux entreprises de taille moyenne. Un audit de sécurité informatique annuel permet de détecter les vulnérabilités avant qu’elles ne se transforment en incident déclaré.

La messagerie professionnelle, un point de vigilance souvent oublié

Les emails professionnels contiennent fréquemment des données personnelles sensibles, sans que les équipes en aient pleinement conscience. Les explications disponibles sur les règles clés applicables à la messagerie professionnelle aident à cadrer les bonnes pratiques de conservation et de suppression des échanges.

Planifiez une revue trimestrielle des accès informatiques pour vérifier que seuls les collaborateurs concernés disposent des droits nécessaires sur les fichiers contenant des données personnelles.

Comment respecter les droits des personnes concernées au quotidien ?

Le RGPD confère aux personnes physiques une série de droits opposables à toute entreprise détentrice de leurs données. Un salarié, un client ou un prospect peut à tout moment demander l’accès à ses données, leur rectification, leur suppression ou leur portabilité. Ignorer ces demandes expose l’entreprise à un signalement direct auprès de la CNIL.

Droit	Description	Délai de réponse
Droit d’accès	Obtenir la copie des données détenues	1 mois
Droit de rectification	Corriger une donnée inexacte	1 mois
Droit à l’effacement	Supprimer les données sauf obligation légale contraire	1 mois
Droit à la portabilité	Récupérer ses données dans un format lisible	1 mois
Droit d’opposition	Refuser un traitement, notamment marketing	1 mois

Une procédure interne pour ne rien laisser passer

Sans procédure écrite, une demande de droit d’accès reçue par un commercial risque de rester sans réponse plusieurs semaines. Un point de contact unique, souvent le référent RGPD, doit centraliser ces demandes et coordonner la réponse avec les services concernés. Un modèle de réponse type, adapté ensuite au cas particulier, accélère considérablement le traitement.

Les ressources humaines constituent souvent le service le plus exposé à ces demandes, notamment lors des ruptures de contrat. Le dossier consacré aux pièges RGPD à éviter en gestion des ressources humaines recense les erreurs les plus fréquentes observées en PME.

Quelles sanctions en cas de non-conformité au RGPD ?

La CNIL dispose d’un pouvoir de sanction gradué, allant de la simple mise en demeure à l’amende administrative la plus lourde. Le montant maximal atteint 4 % du chiffre d’affaires mondial annuel ou 20 millions d’euros, selon le montant le plus élevé entre les deux. Ce plafond s’applique aux manquements les plus graves, comme l’absence totale de base légale pour un traitement massif de données.

Une injonction de mise en conformité, assortie d’une astreinte journalière, constitue souvent la première étape avant une sanction financière. Des hôtels, des cabinets d’avocats, des médecins généralistes et des sociétés industrielles ont déjà fait l’objet de ces procédures. La taille modeste d’une structure ne garantit aucune immunité face à ce risque.

Le rôle de la certification RGPD pour les sous-traitants

Une certification spécifique aux sous-traitants, actuellement encadrée par un référentiel de 90 critères, permet de démontrer objectivement sa conformité auprès des clients donneurs d’ordres. Cette démarche volontaire devient un véritable argument commercial dans les appels d’offres industriels exigeants. Elle réduit également le risque juridique en cas de contrôle inopiné de la CNIL.

Pour approfondir le sujet spécifique aux données de santé, souvent présentes dans les services RH ou médico-sociaux, la ressource sur la protection des données de santé et la recherche médicale apporte un éclairage pertinent, même hors contexte purement médical.

Comment structurer votre mise en œuvre du RGPD étape par étape ?

Une mise en conformité efficace suit un enchaînement logique, sans qu’il soit nécessaire de tout traiter simultanément. La désignation d’un référent, en interne ou externe, constitue toujours le point de départ. Cette personne coordonne ensuite la cartographie des traitements, avant la mise en place des mesures techniques et la documentation finale.

1. Désigner un délégué à la protection des données, interne ou externe, gratuitement via le site de la CNIL
2. Cartographier l’ensemble des traitements de données dans un registre des activités
3. Vérifier la base légale de chaque traitement identifié
4. Mettre en place les mesures de sécurité techniques et organisationnelles nécessaires
5. Documenter les procédures et former progressivement les équipes concernées

Le registre des activités de traitement, document pivot

Ce registre liste chaque traitement, sa finalité, les données concernées, les destinataires et la durée de conservation appliquée. Un audit RGPD annuel permet de vérifier que ce document reste à jour face aux évolutions de l’activité, comme l’ouverture d’un nouveau site de production. Sans registre à jour, il devient impossible de prouver sa conformité lors d’un contrôle.

Le guide pratique consacré à la réussite d’une mise en conformité RGPD accompagnée par un expert propose une méthodologie détaillée adaptée aux structures qui découvrent tardivement leurs obligations. Un accompagnement externe accélère souvent cette démarche par rapport à une gestion purement interne.

La formation des équipes, souvent sous-estimée

Un registre parfaitement rempli ne suffit pas si les collaborateurs continuent d’envoyer des fichiers non protégés par email. Une sensibilisation courte, répétée régulièrement, ancre les bons réflexes bien plus efficacement qu’une formation unique en début d’année. Prévoyez une session de rappel après chaque évolution majeure du système d’information de l’entreprise.

Une PME de moins de 50 salariés doit-elle vraiment se conformer au RGPD ?

Oui, sans exception liée à la taille. Le RGPD s’applique dès qu’un traitement de données personnelles existe, quel que soit l’effectif de l’entreprise.

Faut-il obligatoirement un DPO externe si l’entreprise n’a pas de service juridique ?

Non, un DPO interne suffit dans la plupart des PME industrielles, sous réserve d’éviter tout conflit d’intérêts avec la direction générale.

Le refus d’un client de signer une clause RGPD bloque-t-il un contrat de sous-traitance ?

Oui dans les faits, car l’absence de contrat encadrant le traitement expose les deux parties à un risque juridique important en cas de contrôle.

Combien de temps peut-on conserver les données d’un candidat non retenu ?

La CNIL recommande deux ans à compter du dernier contact, sauf accord explicite du candidat pour une durée différente.

Un simple fichier papier peut-il faire l’objet d’une sanction RGPD ?

Oui, le règlement s’applique aussi aux fichiers non informatisés dès qu’ils contiennent des données personnelles structurées.