Le RGPD n’est pas un formulaire que l’on remplit une fois pour l’oublier ensuite. C’est une façon de traiter les données de vos clients et de vos salariés que vous devez maintenir dans la durée. La bonne nouvelle pour une petite entreprise, c’est que se mettre vraiment en conformité n’exige pas tout un service juridique : cela demande de la rigueur, quelques documents bien rédigés et un volet technique que presque personne ne regarde avant qu’un incident ou un contrôle ne survienne.
Dans ce guide, nous vous expliquons comment vous conformer au RGPD dans votre entreprise en nous concentrant sur ce qui dépend réellement de vous : votre site web, vos registres, vos contrats avec les prestataires et la sécurité de vos données. Ce n’est pas un conseil juridique —c’est le rôle de votre avocat ou de votre délégué à la protection des données—, c’est la feuille de route technique et organisationnelle qui évite qu’une bêtise ne se transforme en sanction.
Ce que le RGPD vous demande vraiment (en clair)
Sortez-vous de la tête l’idée que le RGPD consiste à « ne pas partager de données ». Il s’agit de quelque chose de plus simple et de plus exigeant : savoir quelles données vous détenez, à quoi elles servent, où elles se trouvent et qui y touche. Si vous pouvez répondre à ces quatre questions sur n’importe quelle donnée personnelle que gère votre entreprise —l’e-mail d’un client, le bulletin de paie d’un salarié, le CV d’un candidat—, vous êtes sur la bonne voie. Sinon, c’est là qu’est votre problème.
Le règlement repose sur des principes qui se traduisent par des obligations concrètes et très terre à terre :
- Une base légale pour chaque traitement. Vous ne collectez pas de données « au cas où » : chaque donnée répond à un motif (un contrat, un consentement, une obligation légale).
- Minimisation. Vous ne demandez que ce dont vous avez besoin. Un formulaire de contact n’a pas besoin d’un numéro de pièce d’identité.
- Transparence. La personne sait ce que vous faites de ses données avant de vous les confier.
- Droits. Chacun peut vous demander l’accès, la rectification ou l’effacement, et vous devez pouvoir y répondre.
- Sécurité. Vous protégez les données avec des mesures techniques réelles, pas avec de bonnes intentions.
L’essentiel : la conformité se prouve, elle ne se déclare pas. Le principe de « responsabilité » (accountability) signifie que la charge de prouver que vous êtes en conformité vous incombe. C’est pourquoi la documentation et les registres ne sont pas de la bureaucratie ; ils sont votre défense le jour où quelqu’un vous interroge.
Votre site web : mentions légales, formulaires et cookies
C’est sur le site web que la plupart des petites entreprises risquent une plainte, car c’est la seule chose que n’importe qui peut auditer depuis l’extérieur sans entrer dans vos bureaux. Ici, aucune place à l’improvisation, et trois éléments doivent être irréprochables.
Des textes légaux qui disent la vérité
Il vous faut une politique de confidentialité, des mentions légales et, si vous utilisez des cookies, une politique de cookies. L’erreur courante consiste à copier celle d’un autre site : vous vous retrouvez avec un document qui mentionne des finalités que vous n’appliquez pas et qui omet celles que vous pratiquez. La politique doit refléter votre réalité —quelles données vous collectez vraiment, avec quels outils (votre CRM, votre prestataire d’e-mailing, votre analytique) et pendant combien de temps vous les conservez—. Un texte générique est pire que rien, car il prouve que vous saviez qu’il fallait le mettre et que vous ne l’avez tout de même pas bien fait.
Des formulaires avec un consentement réel
Chaque formulaire —contact, newsletter, devis— doit indiquer qui traite les données et renvoyer vers la politique de confidentialité. Si l’objectif est d’envoyer des communications commerciales, il faut une case de consentement non cochée par défaut. Et ce consentement doit pouvoir être prouvé : conservez quand et comment il a été donné. Un formulaire qui n’enregistre rien est une promesse que vous ne pouvez pas démontrer.
Cookies : bloquer avant d’accepter
Le bandeau de cookies n’est pas décoratif. Les cookies non essentiels —analytique, publicité, pixels de réseaux sociaux— ne peuvent pas se charger tant que l’utilisateur n’a pas accepté, et refuser doit être aussi simple qu’accepter. Beaucoup de bandeaux « clés en main » affichent l’avis mais chargent quand même les scripts : c’est du non-respect, avec panneau à l’appui. La configuration technique du bandeau et du gestionnaire de balises est aussi importante que le texte.
Registre des activités de traitement et contrats de sous-traitance
Voici la partie que presque aucune petite entreprise n’a réalisée, et c’est l’une des premières réclamées lors d’un contrôle. Le registre des activités de traitement est l’inventaire de tout ce que vous faites avec des données personnelles : chaque activité (gestion des clients, paie, recrutement, vidéosurveillance) avec sa finalité, sa base légale, les catégories de données, les durées de conservation et les mesures de sécurité.
Pas besoin d’un outil coûteux : un tableur bien structuré et tenu à jour suffit. Ce qui ne suffit pas, c’est de ne pas en avoir ou de l’avoir laissé se périmer. Le registre est en outre la meilleure carte pour tout le reste : quand vous le remplissez sérieusement, vous découvrez des traitements que vous n’aviez pas documentés et des prestataires qui touchent aux données sans contrat.
Chaque entreprise à laquelle vous confiez des données personnelles pour qu’elle travaille pour vous est un sous-traitant. Et avec chacune, il vous faut un contrat signé. Sans exception.
Le contrat de sous-traitance est un document prévu par l’article 28 du RGPD qui encadre ce que ce prestataire peut faire des données. Et qui sont vos sous-traitants ? Plus nombreux que vous ne le pensez :
- Votre cabinet comptable ou de conseil, qui gère la paie et les données fiscales.
- Le fournisseur de votre messagerie et de votre CRM, où vivent les contacts de vos clients.
- La plateforme d’e-mailing depuis laquelle vous envoyez votre newsletter.
- L’hébergement qui accueille votre site web et ses formulaires.
- Votre support informatique externe, qui accède aux postes et aux systèmes.
De nombreux prestataires sérieux proposent déjà leur contrat de sous-traitance prêt à signer (ils l’appellent parfois DPA). Votre travail est de les réunir tous et de les conserver. Et attention aux transferts internationaux : si votre outil stocke des données hors de l’Espace économique européen, il faut vérifier qu’une garantie valable existe. Ce n’est pas facultatif.
Erreurs typiques qui finissent en sanction
La plupart des sanctions infligées aux PME ne viennent pas de cas alambiqués, mais de manquements répétés que l’on aurait pu éviter avec un peu de rigueur. Voici les plus fréquents :
- Des cookies qui se chargent sans consentement. Le grand classique. Un bandeau de façade alors que l’analytique et les pixels tournent déjà.
- Ne pas répondre à un droit dans les temps. Quelqu’un demande l’effacement de ses données, personne ne s’en occupe, et ce silence se transforme en plainte.
- Ne pas notifier une violation de sécurité. Face à un incident touchant des données personnelles, il existe un délai de 72 heures pour l’évaluer et, s’il y a lieu, le notifier à l’autorité. Improviser ce jour-là coûte cher.
- Envoyer des communications commerciales sans consentement ou sans lien clair pour se désabonner.
- Des données non protégées. Mots de passe partagés, ordinateurs portables non chiffrés, sauvegardes que personne ne teste, accès d’anciens salariés toujours actifs.
Observez le schéma : presque tous sont des défaillances techniques et d’organisation, pas d’interprétation juridique. Une violation due à un serveur non mis à jour, une sauvegarde qui a échoué en silence ou un bandeau mal configuré ne se règlent pas avec un bon avocat ; ils se préviennent avec une infrastructure bien montée et surveillée. C’est là que la protection des données cesse d’être de la paperasse pour devenir de la cybersécurité appliquée.
Comment MagicBoxDesk vous aide
Soyons clairs : MagicBoxDesk n’est pas votre conseil juridique. Nous ne rédigeons pas votre politique de confidentialité et ne vous disons pas quelle base légale s’applique à chaque traitement —c’est le travail de votre avocat ou de votre délégué à la protection des données—. Ce que nous faisons, c’est la moitié technique et sécurité du RGPD, celle qui reste généralement bancale et qui, lorsqu’elle défaille, finit en incident.
Nous veillons à ce que les mesures de sécurité exigées par le règlement existent réellement et fonctionnent : contrôle des accès, chiffrement, sauvegardes testées, mises à jour à jour, supervision de vos systèmes et un plan de réponse pour le jour où une violation survient. Nous configurons correctement votre site web et son bandeau de cookies, examinons où et comment sont stockées les données que vous manipulez et vous aidons à maintenir l’ordre technique qui soutient tout le reste. Comme nous externalisons votre service informatique, ce n’est pas un projet ponctuel : c’est un support continu dans toute l’Espagne, à distance et sur site quand il le faut.
Se conformer au RGPD dans votre entreprise, c’est avant tout avoir les choses en ordre et protégées avant que quelqu’un ne pose la question. Nous mettons le volet technique pour que vous puissiez vous consacrer à votre activité. Demandez un devis sans engagement et nous examinerons avec vous ce dont vous avez vraiment besoin pour dormir tranquille.
