RGPD : les quatre documents qu’une PME doit vraiment avoir

La conformité au règlement général sur la protection des données a mauvaise réputation dans les PME : perçue comme un chantier technique lourd, elle est souvent repoussée puis traitée dans l’urgence, à l’occasion d’un appel d’offres ou d’une réclamation.

C’est une erreur de perspective. Pour une entreprise de moins de cinquante personnes qui ne traite pas de données sensibles à grande échelle, la conformité est d’abord un exercice documentaire. Quatre documents en constituent le socle.

1. Le registre des activités de traitement

C’est la pièce maîtresse : la cartographie de ce que vous faites des données personnelles que vous détenez.

Pour chaque traitement — gestion des clients, recrutement, paie, prospection, vidéosurveillance, cookies du site —, le registre indique la finalité, les catégories de personnes et de données concernées, les destinataires, la durée de conservation et les mesures de sécurité.

L’exercice est instructif au-delà de la conformité : la plupart des entreprises découvrent à cette occasion des traitements dont elles avaient perdu la trace — un ancien fichier de prospection, une base de candidatures jamais purgée.

2. Les mentions d’information

Toute personne dont vous collectez les données doit être informée, au moment de la collecte, de ce que vous en faites. Cela concerne vos clients, vos prospects, vos candidats et vos salariés.

Concrètement, cela se traduit par :

• une politique de confidentialité accessible sur votre site ;
• une mention courte sous chaque formulaire de collecte ;
• une information spécifique pour les candidats à un recrutement ;
• une note d’information destinée aux salariés, couvrant les outils internes.

L’exigence est celle de la clarté : une information exacte mais incompréhensible ne remplit pas l’obligation.

3. Les contrats avec les sous-traitants

C’est le point le plus souvent négligé, et celui qui ressort systématiquement lors des audits clients.

Dès qu’un prestataire traite des données pour votre compte — hébergeur, éditeur de logiciel en ligne, cabinet de paie, prestataire d’emailing —, un contrat doit encadrer cette relation et préciser les obligations de chacun : instructions du responsable de traitement, confidentialité, sécurité, sort des données en fin de contrat, conditions de sous-traitance ultérieure.

La plupart des fournisseurs proposent un avenant type. Il faut le demander, le lire et le conserver — trois actions simples, rarement effectuées.

4. La procédure de réponse aux demandes de droits

Toute personne peut vous demander l’accès à ses données, leur rectification, leur effacement ou leur portabilité. Vous disposez d’un délai encadré pour répondre.

Une procédure interne d’une page suffit : qui reçoit la demande, comment l’identité du demandeur est vérifiée, où sont les données concernées, qui rédige la réponse, et où la réponse est archivée.

C’est ce document qui fait la différence le jour où une demande arrive — souvent d’un ancien salarié ou d’un client mécontent, dans un contexte déjà tendu.

Ce qui vient ensuite, selon l’activité

Ce socle couvre l’essentiel. Certaines situations appellent des mesures complémentaires :

• une analyse d’impact lorsque le traitement est susceptible d’engendrer un risque élevé — profilage à grande échelle, données de santé, surveillance systématique ;
• la désignation d’un délégué à la protection des données dans les cas prévus par le règlement ;
• une procédure de gestion des violations de données, avec les délais de notification applicables ;
• un encadrement des transferts de données hors Union européenne.

Combien de temps, pour quel budget

Pour une PME de vingt à cinquante personnes, sans traitement à risque élevé, la constitution de ce socle représente en pratique deux à trois semaines : un atelier de cartographie, la rédaction des documents, puis une session de restitution auprès des personnes concernées.

L’essentiel du travail n’est pas juridique mais organisationnel : identifier qui fait quoi avec quelles données. C’est aussi ce qui rend l’exercice utile en lui-même, indépendamment de la conformité — voir notre offre de conseil juridique et conformité.