Votre mise en conformité RGPD en 4 étapes simples

Une mise en conformité au RGPD, c’est quoi ?

Définition des notions clés du RGPD

Avant de penser à sa mise en conformité au RGPD, il faut déjà avoir en tête les notions-clés en la matière. Voici un petit pense (pas) bête pour tout comprendre !

• • Le RGPD (Règlement Général sur la Protection des Données) est un règlement européen qui encadre le traitement des données personnelles au sein de l’Union européenne. En France, la mise en place du RGPD date du 25 mai 2018, date d’entrée en vigueur de ce texte.

• • Une donnée personnelle, c’est toute information qui permet d’identifier ou rendre identifiable une personne physique, directement (son nom par exemple) ou indirectement (son numéro de téléphone, son adresse IP par exemple).

• • Se mettre en conformité au RGPD, c’est donc l’ensemble des actions à mener pour que votre structure traite les données personnelles de ses clients, salariés ou usagers dans le respect de ce règlement. Cela signifie notamment les collecter légalement, les sécuriser, les conserver le temps nécessaire seulement et permettre aux personnes concernées d’exercer leurs droits dessus.

Rappel des principes du RGPD 

Le RGPD repose sur 7 grands principes relatifs au traitement des données personnelles : 

• • La licéité du traitement : vous ne pouvez traiter des données personnelles que si vous disposez d’une base légale valable. Cela peut être l’exécution d’un contrat, une obligation légale, un consentement libre et éclairé de la personne concernée, ou toute autre base juridique prévue par le RGPD ;

• • La finalité du traitement : vous collectez des données pour un objectif précis, clairement défini et légitime. Les données collectées ne peuvent pas être réutilisées ultérieurement pour une finalité différente sans justification juridique adaptée ;

• • La minimisation des données : vous ne demandez que les informations vraiment utiles à votre objectif ;

• • La conservation des données : vous gardez les données seulement le temps nécessaire. Ensuite, vous devez les supprimer, les anonymiser ou les archiver ;

• • La transparence du traitement : la personne doit toujours comprendre pourquoi vous utilisez ses données, et pouvoir agir dessus si elle le souhaite ;

• • L’obligation de sécurité des données : vous devez protéger les données que vous récoltez contre les fuites, les pertes et les accès non autorisés ;

• • Le principe d’accountability : vous devez pouvoir prouver à tout moment que vous respectez le RGPD, documents et procédures à l’appui.

Envie de creuser chacun de ces principes et en savoir plus sur le RGPD ? Retrouvez toutes les explications dans notre article RGPD pour les nuls.

Quelles sont les structures concernées par une mise en place du RGPD ?

Contrairement à une idée reçue, le RGPD ne concerne pas que les grandes entreprises. Si on résume, dès lors que votre structure traite des données personnelles (celles de vos clients, de vos salariés, de vos adhérents ou de vos usagers) relatives à des personnes européennes, vous êtes concerné. Cela vaut pour les entreprises de toute taille, les associations, et les collectivités et établissements publics. La CNIL rappelle d’ailleurs que la mise en conformité RGPD est obligatoire : ce n’est pas une option, quelle que soit la taille de votre structure.

Vous voulez savoir précisément si votre structure est concernée, et à quel niveau ? On vous détaille tout dans notre article qui est concerné par le RGPD.

Les étapes de mise en conformité au RGPD dans votre entreprise

Voici un exemple de procédure RGPD en 4 étapes pour vous mettre en conformité avec la réglementation européenne

Étape 1 : audit et état des lieux de vos traitements de données

Première étape incontournable de la mise en place du RGPD dans votre entreprise : faire le point sur tout ce qui est déjà mis en place. Quelles données personnelles votre structure collecte-t-elle ? Pour quoi faire ? Qui y a accès ? Combien de temps sont-elles conservées ? Cet audit RGPD permet de cartographier vos traitements de données et de repérer les écarts avec les exigences du RGPD.

C’est souvent à ce stade que les référents RGPD internes, pas toujours formés au départ, se retrouvent en difficulté : identifier tous les traitements, comprendre les bases légales applicables, évaluer les risques… Cela demande une expertise juridique et technique pointu ! C’est là que le DPO externe peut grandement vous aider : il apporte un regard à la fois neutre et expert sur vos traitements de données, sans que vous ayez à recruter ou former quelqu’un en interne.

Étape 2 : création d’un registre des traitements

Une fois l’audit réalisé, il est temps de mettre en place votre registre des activités de traitement, ou registre des traitements. C’est un document obligatoire qui liste, pour chaque activité impliquant des données personnelles :

• l’objectif poursuivi,
• les catégories de données utilisées,
• les personnes qui y ont accès
• la durée de conservation ainsi que leur sécurisation.

Il est prévu par l’article 30 du RGPD.

Pour le construire correctement, il faut d’abord avoir bien suivi l’étape 1 de cartographie des données : savoir précisément où circulent vos données, dans quels outils, chez quels prestataires. Nécessaire en cas de contrôle, le registre des activités de traitement est également le moyen de vous interroger sur l’utilité de certaines collectes de données, et peut-être de revoir vos process.

Étape 3 : mise en conformité effective et correctifs

Sur la base de l’audit et du registre, l’étape 3 de votre mise en conformité au RGPD consiste à mettre en place les correctifs nécessaires : 

• • mise à jour des mentions d’information sur vos formulaires, 

• • sécurisation des accès aux données, 

• • définition de durées de conservation claires, 

• • création d’un processus pour répondre aux demandes de droits (accès, rectification, effacement) dans le délai légal d’un mois.

Bon à savoir : vous êtes dans le domaine de la santé ou du secteur public ? Vous pouvez aussi devoir remplir la déclaration simplifiée – engagement de conformité CNIL (formulaire Cerfa 13810*03 ou démarche en ligne), si vos traitements de données se conforment à un référentiel, une méthodologie de référence ou un acte réglementaire unique.

Étape 4 : suivi de la conformité dans le temps

La mise en conformité RGPD n’est pas une action ponctuelle : c’est un processus qui évolue avec votre activité, les nouvelles données que vous allez peut-être collecter, etc. Et il est nécessaire de pouvoir maintenir votre conformité au RGPD en continu. Vos traitements de données évoluent (nouveaux outils, nouveaux prestataires, nouvelles offres), donc votre conformité doit suivre ! Pour cela, vous pouvez vous appuyer sur un DPO externe, qui est là pour vous séréniser et gérer l’évolution de votre conformité pour vous.

Mais pour ancrer durablement les bons réflexes, vous pouvez aussi penser à former vos équipes au RGPD ! La conformité est l’affaire de tous ceux qui manipulent des données. Un bénévole dans une association sportive qui, par exemple, récolte les coordonnées des adhérents et leur envoie des mails manipule des données personnelles, et il est important d’en connaître l’impact. 

Une formation RGPD permet de sensibiliser vos collaborateurs aux bonnes pratiques et d’éviter les erreurs les plus courantes (mot de passe partagé, fichier client envoyé sans précaution, données conservées trop longtemps…). Ces erreurs, même commises de bonne foi, peuvent coûter cher à votre structure. Voyons justement ce que vous risquez en cas de manquement.

Les risques en cas d’absence de mise en conformité

#1 Sanctions de la CNIL

La CNIL peut prononcer plusieurs types de sanctions : de l’avertissement à l’amende, en passant par l’injonction de mise en conformité ou la limitation temporaire d’un traitement. Les amendes administratives peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Imaginez l’impact pour votre société !

Même si votre violation du RGPD n’est pas ou peu grave, la CNIL peut quand même vous sanctionner. Elle dispose d’une procédure simplifiée, plus rapide, avec des amendes plafonnées à « seulement » 20 000 euros. Elle est aujourd’hui utilisée pour la majorité des sanctions prononcées. C’est bien la preuve que les contrôles ne visent plus seulement les grands groupes ni les gros manquements, et que votre petite structure peut aussi écoper de sanctions.

#2 Sanctions pénales

Au-delà des amendes administratives, le Code pénal prévoit des sanctions pénales en cas de manquement grave au RGPD. C’est notamment ce que vous risquez :

• • en cas de détournement de la finalité d’un traitement. Vous collectez des données dans un but précis, mais vous les réutlisez pour autre chose ? Vous risquez alors jusqu’à 300 000 euros d’amende et 5 ans d’emprisonnement.

• • en cas de non-respect des droits des personnes, c’est-à-dire en l’absence de réponse ou d’action de votre part si un usager demande la rectification ou la suppression de ses données personnelles. Sanction possible : 1500 € d’amende pénale par infraction constatée. 

• • en cas d’absence d’information, lorsque vous collectez des données sans que la personne concernée en soit informée. De même, vous encourez 1500 € d’amende par infraction : je vous laisse calculer ce que cela peut donner à grande échelle !

#3 Sanctions indirectes 

Ce sont souvent celles qu’on sous-estime le plus et pourtant, elles peuvent vraiment vous faire mal… Une sanction CNIL rendue publique peut ternir durablement l’image de votre structure et vous faire perdre la confiance de vos clients, adhérents ou partenaires. Pour les entreprises qui répondent à des marchés publics, un manquement RGPD peut aussi peser dans la balance et vous faire perdre une chance d’être retenu.

Inutile de vous expliquer quel impact financier une mise en conformité RGPD négligée ou prise à la légère peut avoir sur votre structure ! Je vous laisse aller lire les dernières sanctions RGPD et décisions marquantes de la CNIL pour vous faire une idée.

Votre mise en conformité RGPD n’attend pas !

Votre mise en conformité RGPD vous paraît encore compliquée ? Vous ne savez pas par où commencer pour faire le point sur votre situation au regard du Règlement Général sur la Protection des Données ? Vous avez peur de faire des erreurs et de subir les foudres des autorités de contrôle comme la CNIL ou la DGCCRF ? Pourquoi ne pas confier les rênes de votre conformité à une experte en la matière ? Notre DPO externe chez Lexactitude a déjà accompagné, depuis 2019, + de 70 structures comme la vôtre. Votre conformité n’attend pas : discutons-en dès aujourd’hui !