Données personnelles : au cœur de la conformité RGPD

Le règlement européen sur la protection des données personnelles a profondément transformé la manière dont les organisations collectent, utilisent et stockent les informations qui leur sont confiées. Depuis son entrée en application en mai 2018, le RGPD s’est imposé comme le cadre de référence incontournable pour toute entité traitant des données de résidents européens — qu’il s’agisse d’une multinationale ou d’une PME industrielle de cinquante salariés. Derrière les acronymes et les textes de loi se cachent des obligations concrètes, des délais précis et des responsabilités qui ne peuvent plus être ignorées ni déléguées en bloc à un prestataire externe. Comprendre ce que recouvre réellement la notion de données personnelles, identifier les traitements que vous réalisez au quotidien et structurer votre démarche de conformité : voilà ce que ce texte vous propose d’aborder, sans détour et avec le souci constant de rester ancré dans la réalité opérationnelle d’une entreprise.

• Le RGPD s’applique à toute organisation traitant des données de résidents européens, quelle que soit sa taille.
• La conformité repose sur sept principes fondamentaux, dont la minimisation des données et la limitation des finalités.
• Le registre des traitements est obligatoire dès lors que les traitements ne sont pas occasionnels ou concernent des données sensibles.
• Toute violation de données doit être notifiée à la CNIL dans un délai de 72 heures.
• Les sous-traitants ont des obligations propres, distinctes de celles du responsable de traitement.
• La désignation d’un DPO est obligatoire dans certains cas précis.
• La conformité RGPD est un processus continu, pas un projet à accomplir une seule fois.

Qu’est-ce qu’une donnée personnelle au sens du RGPD ?

Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne physique. Cela couvre évidemment le nom, le prénom ou l’adresse e-mail, mais aussi le numéro de plaque d’immatriculation d’un véhicule de fonction, l’adresse IP d’un poste informatique, ou encore les données de badge d’accès à vos locaux.

Dans une PME industrielle, les données personnelles sont souvent plus nombreuses qu’on ne le pense au premier abord. Les fiches de paie des salariés, les données de pointage, les coordonnées des contacts commerciaux chez vos clients ou fournisseurs, les images issues de la vidéosurveillance de l’atelier : tout cela constitue des données à caractère personnel au sens juridique du terme.

La définition complète des données personnelles avec des exemples pratiques permet de mieux saisir les contours de cette notion, souvent plus étendue que ce que l’intuition laisse supposer. Identifier correctement ce que vous traitez est la première étape avant toute démarche de mise en conformité.

Certaines catégories de données bénéficient d’une protection renforcée : les données de santé, les données révélant l’origine ethnique, les convictions religieuses, les données biométriques ou génétiques. Leur traitement est en principe interdit sauf exceptions limitativement énumérées par le règlement. Si votre entreprise collecte ce type d’informations, des obligations spécifiques s’imposent immédiatement.

Vérifiez dès maintenant, sur chaque formulaire papier ou numérique que vous utilisez, quelles informations vous demandez et si leur collecte est réellement nécessaire à votre activité.

Les sept principes fondamentaux qui structurent toute démarche de conformité

Le RGPD ne se résume pas à une liste de cases à cocher. Il repose sur sept principes directeurs qui conditionnent la légalité de chaque traitement. Ces principes s’appliquent dès la conception de vos outils et processus — c’est ce que l’on appelle le privacy by design.

Le premier principe est celui de licéité, loyauté et transparence : vos traitements doivent reposer sur une base légale valide, et les personnes concernées doivent savoir ce que vous faites de leurs données. Le deuxième, la limitation des finalités, interdit d’utiliser des données collectées pour une raison précise à d’autres fins non prévues initialement. Une liste de contacts clients récupérée dans le cadre d’un contrat ne peut pas être réutilisée pour une campagne de prospection sans information préalable.

La minimisation est souvent sous-estimée : vous ne devez collecter que ce qui est strictement nécessaire. Demander la date de naissance complète d’un interlocuteur commercial alors que seule l’année suffit pour vérifier sa majorité constitue déjà une violation de ce principe. L’exactitude impose quant à elle de maintenir des données à jour — ce qui implique des procédures concrètes de mise à jour régulière de vos bases.

La limitation de la conservation signifie que vous ne pouvez pas garder des données indéfiniment. Des durées de conservation précises doivent être définies et respectées pour chaque catégorie de traitement. L’intégrité et la confidentialité renvoient aux mesures de sécurité techniques et organisationnelles. Enfin, l’accountability — principe de responsabilité — vous oblige à être en mesure de démontrer votre conformité à tout moment, et non pas seulement d’affirmer que vous la respectez.

Formalisez par écrit la finalité, la base légale et la durée de conservation pour chaque traitement que vous identifiez dans votre organisation.

Le registre des traitements : votre colonne vertébrale documentaire

Le registre des activités de traitement est bien plus qu’un document administratif. C’est la cartographie vivante de ce que fait votre organisation avec les données personnelles. Il est obligatoire pour les structures de plus de 250 salariés, mais aussi pour toute organisation — quelle que soit sa taille — dont les traitements ne sont pas occasionnels, portent sur des données sensibles ou présentent un risque pour les droits des personnes.

En pratique, la quasi-totalité des PME sont concernées. La gestion de la paie, le suivi des clients, les candidatures en ressources humaines : ces traitements sont récurrents, donc non occasionnels. Le registre doit être tenu à jour et présenté à la CNIL en cas de contrôle.

Chaque entrée du registre doit mentionner la finalité du traitement, les catégories de données concernées, les bases légales retenues, les destinataires, les durées de conservation, les éventuels transferts hors Union européenne et les mesures de sécurité appliquées. Pour aller plus loin sur ce sujet, la lecture de l’article 30 du RGPD et ses implications pratiques pour le registre est particulièrement éclairante.

Le registre n’est jamais définitivement « terminé ». Dès que vous lancez un nouveau logiciel de gestion, que vous changez de prestataire RH ou que vous intégrez un nouvel outil CRM, une ligne doit être ajoutée ou mise à jour. C’est un document vivant, pas une archive.

Désignez un référent interne chargé de la mise à jour du registre à chaque évolution de vos outils ou processus, et inscrivez cette responsabilité dans sa fiche de poste.

Quelles sont les bases légales du traitement et comment les choisir ?

Tout traitement de données personnelles doit reposer sur l’une des six bases légales prévues par le RGPD. Il n’est pas possible de traiter des données sans en avoir identifié une au préalable. Choisir la mauvaise base légale rend le traitement illicite, même si les données collectées sont par ailleurs sécurisées.

Le consentement est souvent cité en premier, mais il n’est pas la base légale universelle que beaucoup imaginent. Il doit être libre, spécifique, éclairé et univoque. Dans le cadre d’un contrat de travail, un salarié ne peut pas consentir librement à des traitements décidés par son employeur : le consentement n’est donc pas la bonne base légale pour la gestion RH. L’exécution d’un contrat ou l’obligation légale sont dans ce cas bien plus appropriées.

La base de l’intérêt légitime est souvent utilisée pour les relations commerciales B2B : contacter un prospect avec lequel vous avez eu un échange préalable peut s’appuyer sur cette base, à condition que cet intérêt ne soit pas écrasé par les droits des personnes concernées. Une PME industrielle qui envoie une newsletter technique à ses clients professionnels peut s’y appuyer — à condition d’offrir une option de désinscription simple et visible.

Identifier la bonne base légale pour chacun de vos traitements existants est une action que vous devez conduire avant toute autre démarche documentaire.

Les droits des personnes concernées : ce que vous devez concrètement mettre en place

Le RGPD confère aux individus un ensemble de droits qu’ils peuvent exercer à tout moment auprès de votre organisation. Vous avez l’obligation de répondre à ces demandes dans un délai d’un mois à compter de leur réception. Ce délai peut être prolongé de deux mois supplémentaires en cas de complexité, mais vous devez en informer la personne dans le premier mois.

Voici les droits que vous devez être en mesure de traiter opérationnellement :

• Droit d’accès : fournir une copie des données détenues sur la personne
• Droit de rectification : corriger des données inexactes ou incomplètes
• Droit à l’effacement : supprimer les données dans les cas prévus par le règlement
• Droit à la limitation : suspendre l’utilisation des données pendant une vérification
• Droit à la portabilité : transmettre les données dans un format structuré et lisible
• Droit d’opposition : permettre à la personne de refuser certains usages, notamment la prospection
• Droit de ne pas faire l’objet d’une décision automatisée : applicable en cas de profilage avec des effets juridiques

Dans la pratique, cela signifie que votre organisation doit disposer d’une procédure écrite pour traiter ces demandes, désigner un interlocuteur identifié, et conserver une trace de chaque demande reçue et de la réponse apportée. Une adresse e-mail dédiée du type privacy@votre-entreprise.fr est un minimum.

Rédigez dès à présent une procédure interne de gestion des demandes d’exercice de droits, et formez au moins une personne à son application.

Sécurité des données et gestion des violations : 72 heures pour agir

La sécurité des données n’est pas uniquement une question informatique. Elle englobe aussi bien les mesures techniques — chiffrement, contrôle des accès, sauvegardes — que les mesures organisationnelles : politique de mots de passe, habilitations, procédures d’archivage. Le RGPD n’impose pas une liste précise de mesures, mais exige que celles mises en place soient proportionnées aux risques.

Une violation de données personnelles désigne tout incident de sécurité entraînant la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données. Cela couvre le piratage informatique, mais aussi une clé USB perdue dans un parking, un e-mail envoyé à la mauvaise adresse ou un ordinateur portable volé dans un véhicule.

En cas de violation, le responsable de traitement dispose de 72 heures pour notifier la CNIL, à compter du moment où il en a connaissance. Ce délai est impératif. Si la violation présente un risque élevé pour les personnes concernées, ces dernières doivent également en être informées directement, sans délai injustifié. L’absence de notification peut conduire à une sanction distincte, même si la violation elle-même était accidentelle.

Mettez en place un canal interne de signalement des incidents de sécurité, et désignez la personne responsable de décider si une notification à la CNIL est nécessaire, avec les critères d’évaluation associés.

Responsable de traitement et sous-traitant : qui fait quoi ?

La distinction entre responsable de traitement et sous-traitant est fondamentale dans la logique du RGPD. Le responsable de traitement est celui qui détermine les finalités et les moyens du traitement : il décide pourquoi et comment les données sont traitées. Le sous-traitant est celui qui traite des données pour le compte du responsable, selon ses instructions.

Une PME industrielle est responsable de traitement pour la gestion de ses propres salariés, clients et fournisseurs. Elle devient sous-traitant dès lors qu’elle traite des données pour le compte d’un client : un prestataire logistique qui gère les livraisons d’un donneur d’ordre et accède à ses données clients est un sous-traitant au sens du RGPD. Les obligations spécifiques du sous-traitant RGPD méritent d’être bien comprises, car elles vont au-delà d’une simple clause contractuelle.

Le contrat entre responsable de traitement et sous-traitant doit obligatoirement contenir les mentions prévues à l’article 28 du RGPD. C’est ce qu’on appelle un Data Processing Agreement (DPA) ou accord de sous-traitance. Ce document définit l’objet, la durée, la nature et les finalités du traitement, le type de données et les catégories de personnes concernées, ainsi que les obligations et droits du responsable. En l’absence de ce contrat, les deux parties s’exposent à une sanction.

Auditez vos relations prestataires : identifiez ceux qui ont accès à des données personnelles dans le cadre de leur mission, et vérifiez qu’un DPA conforme est signé avec chacun d’eux.

Rôle	Définition	Obligations principales	Exemple concret en PME
Responsable de traitement	Détermine les finalités et les moyens du traitement	Registre, politique de confidentialité, DPA avec sous-traitants, réponse aux droits	L’entreprise industrielle qui gère la paie de ses salariés
Sous-traitant	Traite des données pour le compte du responsable	Agir uniquement sur instruction, mesures de sécurité, signalement des violations, DPA signé	Le cabinet comptable externe qui traite les bulletins de salaire
Sous-traitant ultérieur	Sous-traitant du sous-traitant	Autorisation préalable du responsable, même niveau de garanties	L’hébergeur cloud utilisé par le cabinet comptable
Responsable conjoint	Deux entités déterminent ensemble les finalités	Accord écrit définissant les rôles de chacun	Deux entreprises co-organisant un événement avec collecte de données

Le délégué à la protection des données : obligatoire ou recommandé ?

La désignation d’un délégué à la protection des données (DPO) est obligatoire dans trois situations précises. Premièrement, pour les autorités et organismes publics. Deuxièmement, pour les entreprises dont l’activité principale consiste en des opérations de traitement qui exigent un suivi régulier et systématique des personnes à grande échelle. Troisièmement, pour celles qui traitent à grande échelle des catégories particulières de données ou des données relatives à des condamnations pénales.

Pour une PME industrielle classique, l’obligation de désigner un DPO n’est pas automatique. Cependant, la nomination d’un délégué à la protection des données reste fortement recommandée dès lors que les traitements sont nombreux et variés. Ce rôle peut être confié à un collaborateur interne formé, ou externalisé auprès d’un cabinet spécialisé.

Le DPO n’est pas un responsable de la conformité au sens hiérarchique : il conseille, contrôle et sert d’interlocuteur avec la CNIL. Il ne peut pas être sanctionné pour les manquements de l’organisation, mais il doit disposer des ressources nécessaires pour exercer sa mission. Il rapporte directement au niveau de direction le plus élevé et ne reçoit aucune instruction dans l’exercice de ses missions.

Si vous n’avez pas de DPO désigné, évaluez si votre situation vous y oblige, et dans tous les cas, désignez au moins un référent RGPD interne avec une mission formalisée.

Transparence et information des personnes : les mentions obligatoires

Le principe de transparence impose que les personnes dont vous traitez les données soient informées de façon claire et accessible. Cette information doit être fournie au moment de la collecte, ou dans les meilleurs délais si les données ont été obtenues indirectement. Elle ne peut pas être enfouie dans des conditions générales de vingt pages rédigées en jargon juridique.

Une mention d’information valide doit comporter : l’identité du responsable de traitement, les finalités et la base légale du traitement, les destinataires des données, les durées de conservation, les droits des personnes et les modalités pour les exercer, ainsi que la possibilité de déposer une réclamation auprès de la CNIL. Si des transferts hors Union européenne sont prévus, ils doivent également être mentionnés.

Sur votre site internet, un bandeau cookies conforme est indispensable dès lors que vous utilisez des traceurs. Ce point est souvent négligé, alors que la CNIL effectue régulièrement des contrôles sur ce sujet. Un bandeau qui préselectionne les cookies optionnels ou qui rend le refus plus difficile que l’acceptation est considéré comme non conforme.

Auditez toutes vos sources de collecte — formulaires en ligne, contrats, e-mails de bienvenue, applications — et vérifiez que chacune dispose d’une mention d’information complète et lisible.

L’analyse d’impact : quand est-elle obligatoire et comment la conduire ?

L’analyse d’impact relative à la protection des données (AIPD) est une évaluation formelle du risque que présente un traitement pour les droits et libertés des personnes. Elle est obligatoire avant tout traitement susceptible d’engendrer un risque élevé. La CNIL a publié une liste des types de traitements qui l’exigent systématiquement.

Parmi les cas qui déclenchent une AIPD obligatoire : l’utilisation de données biométriques pour contrôler l’accès à des locaux, la mise en œuvre d’un système de surveillance des salariés à l’aide d’outils de traçabilité numérique, ou encore le croisement de bases de données à grande échelle. Une PME qui installe un logiciel de suivi de l’activité informatique de ses salariés doit conduire une AIPD avant tout déploiement.

L’AIPD suit une méthodologie précise : description du traitement, évaluation de sa nécessité et de sa proportionnalité, identification des risques pour les personnes, mesures envisagées pour les atténuer. Si les risques résiduels restent élevés après application des mesures correctives, la CNIL doit être consultée préalablement au traitement. Commencer un traitement à risque élevé sans AIPD est une violation directe du RGPD.

Avant de déployer tout nouveau système impliquant des données personnelles sensibles ou un suivi intensif des personnes, vérifiez si une AIPD est requise et conduisez-la avec méthode.

Mettre en place une conformité RGPD durable dans votre organisation

La conformité RGPD n’est pas un état que l’on atteint une fois pour toutes. C’est un processus continu qui évolue avec vos activités, vos outils et la réglementation elle-même. Traiter la mise en conformité comme un projet ponctuel est la principale erreur des PME qui se font sanctionner lors d’un contrôle.

Pour structurer une démarche pérenne, plusieurs axes sont à travailler simultanément. La documentation — registre, procédures, politiques internes — doit être maintenue à jour. La formation des collaborateurs est un levier souvent sous-estimé : la majorité des violations de données résulte d’erreurs humaines, pas de cyberattaques sophistiquées. Un collaborateur qui envoie par mégarde un fichier client à la mauvaise adresse e-mail crée une violation à notifier.

Les relations avec les prestataires méritent une attention particulière. Chaque fois que vous externalisez un traitement — hébergement cloud, logiciel SaaS, sous-traitance comptable — vous devez vérifier les garanties offertes et formaliser la relation par un DPA. Pour vous guider dans cette démarche globale, le guide pratique de mise en conformité RGPD pour les entreprises constitue une ressource utile pour structurer vos priorités.

Enfin, la protection des données et la cybersécurité sont deux disciplines complémentaires. Une politique RGPD rigoureuse sans mesures de sécurité informatique adaptées reste fragile. Prenez l’habitude de traiter ces deux sujets ensemble, avec les équipes techniques et les directions métiers. La conformité réglementaire sans robustesse technique n’est qu’un exercice de papier.

Planifiez dès maintenant une revue annuelle de votre conformité RGPD, en impliquant la direction, les ressources humaines, la DSI et les opérations — et documentez chaque décision prise lors de cette revue.

Mon entreprise de moins de 250 salariés est-elle vraiment obligée de tenir un registre des traitements ?

Oui, dans la grande majorité des cas. L’exemption pour les moins de 250 salariés ne s’applique pas dès lors que vos traitements ne sont pas occasionnels — ce qui est le cas de la paie, de la gestion clients ou des candidatures RH. Si vous traitez des données sensibles ou des données présentant un risque pour les personnes, le registre est obligatoire quelle que soit la taille de votre structure.

Quelle est la différence entre un responsable de traitement et un sous-traitant ?

Le responsable de traitement décide pourquoi et comment les données sont traitées. Le sous-traitant traite des données pour le compte du responsable, selon ses instructions. Une PME est souvent les deux à la fois : responsable pour ses propres données internes, et sous-traitant lorsqu’elle gère des données pour le compte d’un client donneur d’ordre. Chaque situation implique des obligations distinctes.

Que se passe-t-il si je ne notifie pas une violation de données à la CNIL dans les 72 heures ?

Le non-respect du délai de notification de 72 heures constitue une violation autonome du RGPD, distincte de la violation de données elle-même. La CNIL peut prononcer une sanction spécifique pour ce manquement, même si la violation initiale était accidentelle et de faible impact. Il est impératif de disposer d’une procédure interne permettant de détecter, qualifier et notifier rapidement tout incident.

Est-il obligatoire de désigner un DPO dans une PME industrielle ?

Pas systématiquement. L’obligation de désigner un délégué à la protection des données s’applique aux autorités publiques, aux entreprises dont l’activité principale implique un suivi régulier et systématique à grande échelle, et à celles traitant massivement des données sensibles. Pour une PME industrielle classique, ce n’est généralement pas obligatoire, mais la désignation d’un référent RGPD interne ou externe reste fortement recommandée pour structurer la démarche.

Le consentement est-il toujours nécessaire pour traiter des données personnelles ?

Non. Le consentement est l’une des six bases légales prévues par le RGPD, mais ce n’est pas la seule ni la plus appropriée dans tous les cas. Pour la gestion de la paie, c’est l’obligation légale ou l’exécution du contrat qui s’applique. Pour les relations commerciales B2B, l’intérêt légitime est souvent la base adéquate. Utiliser le consentement comme base légale par défaut est une erreur fréquente qui peut fragiliser l’ensemble de votre conformité.