RGPD pour les PME : la conformité sans la paperasse

Le RGPD fait peur parce qu'on le présente comme un problème juridique. C'est d'abord un problème d'ingénierie : où sont vos données, qui y accède, et combien de temps vous les gardez.

Ce que le RGPD demande vraiment

Le règlement tient en quelques principes : ne collecter que ce qui est nécessaire, dire clairement pourquoi, sécuriser ce que vous gardez, et permettre aux gens de consulter ou supprimer leurs données. Le reste n'est que de la documentation autour de ces principes.

Les six mesures concrètes

1. Cartographier vos données : listez chaque endroit où des données personnelles existent (CRM, emails, tableurs, outils SaaS). On ne protège pas ce qu'on ne connaît pas.
2. Minimiser la collecte : chaque champ d'un formulaire est une responsabilité. Si vous n'en avez pas besoin, ne le demandez pas.
3. Chiffrer en transit et au repos : HTTPS partout, bases de données chiffrées, sauvegardes chiffrées. Non négociable.
4. Contrôler les accès : moindre privilège. Le stagiaire marketing n'a pas besoin d'accès à la base clients complète.
5. Définir une durée de conservation : supprimez automatiquement ce qui n'est plus utile. Les vieilles données sont un risque, pas un actif.
6. Préparer les demandes d'exercice de droits : une procédure simple pour répondre à une demande d'accès ou de suppression sous 30 jours.

Le registre de traitement

Au-delà de 250 employés (ou pour les traitements à risque), vous devez tenir un registre des activités de traitement. Pour une PME, un tableur structuré suffit : quelles données, dans quel but, conservées combien de temps, partagées avec qui.

En cas de violation

Vous avez 72 heures pour notifier l'autorité de contrôle (CNIL en France, APD en Belgique) après avoir constaté une fuite de données à risque. Un plan de réponse écrit à l'avance fait la différence entre une notification maîtrisée et la panique.

Vos prestataires font partie du périmètre

Chaque outil SaaS qui stocke des données clients (CRM, outil d'emailing, logiciel de paie, hébergeur) agit comme sous-traitant au sens du RGPD. Vous restez responsable de ce qu'il fait des données. Trois vérifications par fournisseur :

1. Un contrat de sous-traitance (souvent appelé DPA) qui précise ce que le fournisseur peut faire des données, et ce qu'il ne peut pas faire.
2. La localisation des données : où sont-elles hébergées, et des transferts hors de l'Union européenne sont-ils prévus ? Si oui, sur quelle base juridique ?
3. Les mesures de sécurité : chiffrement, contrôle d'accès, et notification en cas de violation dans un délai compatible avec vos propres obligations.

Ce qui change au Québec et au Maroc

Une PME qui sert des clients dans plusieurs pays doit composer avec plusieurs lois. Les principes se ressemblent, les formalités diffèrent.

La Loi 25, adoptée en septembre 2021, est entrée en vigueur par étapes en 2022, 2023 et 2024. Elle exige une évaluation des facteurs relatifs à la vie privée (EFVP) avant tout projet de système d'information traitant des renseignements personnels et avant de communiquer ces renseignements hors du Québec. Par défaut, la personne ayant la plus haute autorité dans l'entreprise est responsable de la protection des renseignements personnels.

Bonne nouvelle : une PME qui a fait le travail pour le RGPD possède déjà la cartographie, la minimisation et les mesures de sécurité. Il reste surtout à ajouter les formalités locales.

Les erreurs fréquentes

Copier une politique de confidentialité trouvée en ligne. Elle décrit les traitements de quelqu'un d'autre. Votre politique doit refléter vos outils, vos finalités et vos durées de conservation réelles.

Faire cocher une case de consentement pour tout. Beaucoup de traitements reposent sur une autre base légale, comme l'exécution d'un contrat. Le consentement fourre-tout est fragile et difficile à prouver.

Oublier les sauvegardes et les exports. Les données supprimées du CRM survivent souvent dans des fichiers d'export partagés et des sauvegardes jamais purgées.

Traiter la conformité comme un projet ponctuel. Chaque nouvel outil, formulaire ou campagne modifie le registre. Une revue trimestrielle d'une heure suffit à le garder à jour.

Pourquoi la conformité rend plus sûr

Toutes ces mesures sont aussi des bonnes pratiques de sécurité. Chiffrer, minimiser, contrôler les accès : c'est du secure-by-design. La conformité bien faite n'est pas une contrainte ajoutée, c'est le sous-produit d'un système correctement conçu.

En résumé

1. Le RGPD est d'abord un problème d'ingénierie : savoir où sont les données, qui y accède et combien de temps elles sont gardées.
2. Six mesures couvrent l'essentiel : cartographier, minimiser, chiffrer, contrôler les accès, fixer des durées de conservation, préparer les demandes d'exercice de droits.
3. Les prestataires SaaS font partie du périmètre : contrat de sous-traitance, localisation des données et sécurité sont à vérifier.
4. En cas de violation à risque, le RGPD laisse 72 heures pour notifier l'autorité ; la Loi 25 au Québec et la loi 09-08 au Maroc ont leurs propres règles.
5. Une conformité bien faite est le sous-produit d'un système conçu de façon sécurisée.

Un audit gratuit de vos systèmes ?

30 minutes. On identifie vos vrais risques. Sans jargon, sans engagement.