1 LE REGISTRE DES ACTIVITES DE TRAITEMENT
L’idée est répandue que le registre des traitements ne concernerait que les grandes entreprises. C’est faux.
L’obligation de tenir un registre, prévue par l’article 30 du RGPD, concerne tous les organismes, publics comme privés, quelle que soit leur taille, dès lors qu’ils traitent des données personnelles.
Il est vrai que les entreprises de moins de 250 salariés bénéficient d’une dérogation, mais celle-ci est beaucoup plus étroite qu’on ne le pense.
Elle ne dispense d’inscrire au registre que les traitements occasionnels, sans risque pour les droits et libertés des personnes, ne portant ni sur des données sensibles ni sur des données relatives aux condamnations pénales et aux infractions comme par exemple une campagne de communication ponctuelle pour l’ouverture d’un nouvel établissement.
En pratique, les traitements non occasionnels, comme la gestion de la paie, des clients ou des fournisseurs, doivent y figurer. La CNIL recommande d’ailleurs, en cas de doute, d’intégrer le traitement au registre.
Concrètement, le registre est un tableau qui décrit, pour chaque traitement (gestion des clients, paie, recrutement, site web, prospection…), des informations telles que :
- la finalité poursuivie ;
- les catégories de personnes concernées et de données utilisées ;
- les destinataires qui y ont accès, y compris les sous-traitants externes ;
- les transferts éventuels de données hors de l’Union européenne ;
- la durée de conservation des données, ou à défaut les critères permettant de la déterminer ;
- une description générale des mesures de sécurité.
La CNIL met à disposition un modèle de registre simple, pensé pour les petites structures, qu’il suffit d’adapter. C’est un document central de la conformité : il documente vos traitements et vous donne une vision d’ensemble de ce que votre entreprise fait des données personnelles.
2 LES DUREES DE CONSERVATIONS
C’est le deuxième point souvent négligé. Rien ne justifie de conserver des fichiers clients et prospects sans limite.
Le RGPD pose un principe simple : les données personnelles ne peuvent pas être conservées indéfiniment. Une durée de conservation doit être déterminée en fonction de l’objectif qui a justifié la collecte, et au-delà de cette durée, les données doivent être effacées ou anonymisées, sauf archivage intermédiaire justifié et défini.
Quelques repères utiles :
- Pour les données de clients utilisées à des fins de prospection commerciale, la CNIL propose une durée de trois ans à compter de la fin de la relation commerciale, par exemple le dernier achat, le terme d’un contrat ou le dernier contact émanant du client. Ce n’est pas une durée légale générale applicable à tout fichier : chaque finalité appelle sa propre durée.
- Certaines durées sont, elles, imposées par des textes : par exemple dix ans pour les documents comptables et de facturation, au titre du Code de commerce.
- Pour les candidatures non retenues, le CV peut être conservé dans un vivier de candidats pour une durée n’excédant en principe pas deux ans à compter du dernier contact avec le candidat, à condition d’en avoir informé.
- Les données conservées pour un motif légal (comptabilité, contentieux) relèvent de l’archivage intermédiaire : elles doivent être séparées des bases actives, de manière logique ou physique, avec un accès restreint.
La démarche est plus accessible qu’il n’y paraît : pour chaque fichier, fixez une durée d’utilité opérationnelle, une durée d’archivage, et organisez une revue régulière.
La CNIL a publié un guide dédié et des référentiels sectoriels pour vous aider à fixer ces durées.
3 LES PRESTATAIRES : L’ENCADREMENT CONTRACTUEL A VERFIER
Le 3ème point concerne les sous-traitants : Hébergeur, outil de gestion commerciale, solution d’e-mailing, logiciel de paie, agenda partagé, stockage dans le cloud… Votre TPE confie quotidiennement des données personnelles à toute une chaîne de prestataires.
Or, dès qu’un prestataire traite des données pour votre compte, le RGPD impose d’établir avec lui un contrat ou un autre acte juridique reprenant les dispositions de l’article 28 du règlement : finalités, durée, mesures de sécurité, sort des données en fin de contrat, obligation de vous notifier toute violation.
Deux précisions importantes sont à signaler.
D’abord, cet encadrement n’exige pas nécessairement un document signé séparément : le contrat ou l’acte juridique peut se présenter sous une forme écrite, y compris en format électronique (article 28, paragraphe 9 du RGPD). L’accord peut donc être intégré aux conditions contractuelles acceptées lors de la souscription à l’outil ; encore faut-il le vérifier, et garder une trace de cette vérification. Ensuite, au-delà du contrat, interrogez-vous sur les transferts de données : vérifiez non seulement le lieu d’hébergement, mais aussi les éventuels accès depuis des pays extérieurs à l’Espace économique européen, qui doivent eux aussi être encadrés.
Le point de départ est là encore le registre : listez vos outils et prestataires, vérifiez pour chacun l’existence d’un encadrement contractuel conforme à l’article 28, et documentez ces vérifications.
Ce qu’il faut retenir :
La démarche doit être adaptée aux données traitées et aux risques : un registre à jour, des durées de conservation définies et respectées, un encadrement contractuel vérifié auprès de vos prestataires : ces trois chantiers mesurés constituent un point de départ, non une conformité complète.
La CNIL propose d’ailleurs une check-list dédiée aux TPE-PME et un guide pratique élaboré avec Bpifrance pour accompagner ces démarches.
Si vous souhaitez sécuriser ces trois points dans votre entreprise, un audit de conformité ciblé permet d’identifier ce qui manque et de prioriser les actions, sans complexité inutile.