RGPD pour les PME : la conformité sans la paperasse

Le RGPD fait peur parce qu'on le présente comme un problème juridique. C'est d'abord un problème d'ingénierie : où sont vos données, qui y accède, et combien de temps vous les gardez.

Ce que le RGPD demande vraiment

Le règlement tient en quelques principes : ne collecter que ce qui est nécessaire, dire clairement pourquoi, sécuriser ce que vous gardez, et permettre aux gens de consulter ou supprimer leurs données. Le reste n'est que de la documentation autour de ces principes.

Les six mesures concrètes

1. Cartographier vos données : listez chaque endroit où des données personnelles existent (CRM, emails, tableurs, outils SaaS). On ne protège pas ce qu'on ne connaît pas.
2. Minimiser la collecte : chaque champ d'un formulaire est une responsabilité. Si vous n'en avez pas besoin, ne le demandez pas.
3. Chiffrer en transit et au repos : HTTPS partout, bases de données chiffrées, sauvegardes chiffrées. Non négociable.
4. Contrôler les accès : moindre privilège. Le stagiaire marketing n'a pas besoin d'accès à la base clients complète.
5. Définir une durée de conservation : supprimez automatiquement ce qui n'est plus utile. Les vieilles données sont un risque, pas un actif.
6. Préparer les demandes d'exercice de droits : une procédure simple pour répondre à une demande d'accès ou de suppression sous 30 jours.

Le registre de traitement

Au-delà de 250 employés (ou pour les traitements à risque), vous devez tenir un registre des activités de traitement. Pour une PME, un tableur structuré suffit : quelles données, dans quel but, conservées combien de temps, partagées avec qui.

En cas de violation

Vous avez 72 heures pour notifier l'autorité de contrôle (CNIL en France, APD en Belgique) après avoir constaté une fuite de données à risque. Un plan de réponse écrit à l'avance fait la différence entre une notification maîtrisée et la panique.

Pourquoi la conformité rend plus sûr

Toutes ces mesures sont aussi des bonnes pratiques de sécurité. Chiffrer, minimiser, contrôler les accès : c'est du secure-by-design. La conformité bien faite n'est pas une contrainte ajoutée, c'est le sous-produit d'un système correctement conçu.

Un audit gratuit de vos systèmes ?

30 minutes. On identifie vos vrais risques. Sans jargon, sans engagement.