Guide · Conformité RGPD informatique
Un registre jamais tenu, un ancien collaborateur qui garde encore l’accès au fichier clients, un outil en ligne adopté sans vérifier où sont stockées les données : ces situations ordinaires font du RGPD une question informatique avant d’être une question juridique. Cette page s’adresse aux dirigeants, office managers, DAF et responsables informatiques des PME de Paris et de la petite couronne qui doivent mettre leur système d’information en conformité, ou pouvoir démontrer qu’ils le sont.
Sommaire
Conformité RGPD informatique, c’est quoi ?
Le RGPD, le règlement européen sur la protection des données personnelles, s’applique à toute entreprise qui traite des données sur des personnes : clients, prospects, candidats, salariés. La conformité informatique consiste à traduire ces obligations dans les systèmes réellement utilisés : quelles données sont collectées, où elles sont stockées, qui peut y accéder, combien de temps elles sont conservées et quels prestataires les traitent pour le compte de l’entreprise.
Ce que la conformité n’est pas
Il ne s’agit pas seulement de rédiger une politique de confidentialité ou de cocher des cases. Une documentation parfaite ne protège pas un dossier partagé sans restriction ni un prestataire qui conserve une copie des fichiers. À l’inverse, des mesures techniques solides sans registre ni procédure laissent l’entreprise sans preuve de sa démarche le jour où une question lui est posée.
Un travail à deux niveaux
Le premier niveau est documentaire : le registre des traitements, les finalités, les bases légales, les clauses contractuelles avec les sous-traitants. Le second est technique : droits d’accès, chiffrement des postes et des sauvegardes, journalisation, suppression des données périmées. Les deux se nourrissent mutuellement. Un registre ne décrit fidèlement la réalité que si l’inventaire a été fait sur les systèmes eux-mêmes.
Quand faut-il s’en occuper ?
Le sujet arrive rarement par hasard. Les situations suivantes reviennent souvent dans les PME :
- Le registre n’a jamais été rempli, ou il date d’une autre organisation, avec des traitements qui n’existent plus et d’autres qui manquent.
- Des fichiers clients circulent : exports sur des postes personnels, pièces jointes conservées dans des messageries, tableurs partagés avec des prestataires.
- Un départ n’a pas entraîné la fermeture des accès : un ancien collaborateur peut encore ouvrir un dossier, un logiciel ou une boîte partagée.
- Une demande d’accès arrive sans procédure pour l’instruire. Personne ne sait qui la reçoit, qui vérifie l’identité de la personne ou quels fichiers doivent être extraits.
- Un client demande une annexe de sous-traitance ou une garantie écrite sur la protection de ses données, avant de signer un contrat ou de répondre à un appel d’offres.
- Des données sont conservées sans limite : anciens candidats, dossiers clos, sauvegardes qui contiennent des informations qu’il faudrait supprimer.
- Un outil en ligne a été adopté sans vérification : messagerie, signature électronique, logiciel de recrutement. Où sont hébergées les données, et sous quelles clauses ?
- Une fuite est soupçonnée sans que l’entreprise sache si elle doit la notifier, à qui et dans quels délais.
Comment se déroule un projet
Avant : la cartographie
Un projet de conformité commence par un inventaire. Il recense les traitements de données personnelles (paie, recrutement, prospection, gestion des clients, accès aux locaux), les logiciels et les supports qui les portent, ainsi que les personnes qui y accèdent. C’est la base de tout le reste : sans cet inventaire, le registre décrit ce que l’entreprise croit faire, pas ce qu’elle fait.
Pendant : registre, sécurité et contrats
Le registre est rédigé ou mis à jour à partir de la cartographie. Les mesures techniques sont ensuite traitées par ordre de risque : suppression des comptes inactifs, séparation des droits sur les dossiers sensibles, chiffrement des supports portables, journalisation des accès aux données les plus exposées. Les sous-traitants sont passés en revue, avec vérification des clauses contractuelles et du lieu de stockage des données. Les durées de conservation sont fixées puis paramétrées dans les logiciels, et ne se limitent pas à un document écrit.
Après : procédures et suivi
Une conformité se maintient dans le temps. L’entreprise doit disposer d’une procédure écrite pour les demandes des personnes, avec un responsable identifié et les étapes de vérification. Une procédure de gestion des violations de données précise qui évalue un incident, qui décide d’une notification et comment les preuves sont conservées. Le registre est enfin relu à intervalles réguliers, et à chaque nouvel outil ou nouvel usage de données.
Ce qui distingue une bonne offre
Deux propositions peuvent annoncer la même prestation et couvrir des périmètres très différents. Trois points permettent de les comparer. D’abord, la nature du livrable : un registre seul ne suffit pas, il faut aussi la cartographie qui l’a alimenté et la liste des mesures techniques retenues, classées par priorité. Ensuite, le périmètre technique : une offre qui ne regarde que les documents passe à côté des accès, des sauvegardes et des postes, qui sont souvent là où se trouvent les failles réelles. Enfin, la place laissée au dirigeant : le prestataire doit expliquer les arbitrages à trancher, par exemple la durée de conservation d’une catégorie de données, plutôt que de décider à la place de l’entreprise.
Les erreurs fréquentes
Confondre conformité et documentation
Un dossier complet rangé dans un classeur ne dit rien de la manière dont les données circulent réellement. Parade : exiger une cartographie vérifiée sur les systèmes, et non seulement déclarée.
Oublier les sauvegardes
Les copies de sauvegarde contiennent les mêmes données que les systèmes d’origine. Une suppression faite dans un logiciel n’efface pas forcément la donnée dans les sauvegardes. Parade : prévoir la durée de rétention des sauvegardes dans la politique de conservation, et la vérifier avec le prestataire.
Laisser les accès ouverts après un départ
Les comptes restent actifs bien après le départ d’un collaborateur, souvent sur des outils que le service informatique ne connaît pas. Parade : intégrer la fermeture des accès à la procédure de départ, avec une liste à jour des applications.
Traiter chaque demande au cas par cas
Improvisée, la réponse peut être tardive ou incomplète. Parade : une procédure écrite, un responsable désigné et une trace de chaque demande.
Ignorer les outils adoptés hors de la DSI
Un outil de partage ou de signature adopté par une équipe traite souvent des données personnelles, sans clauses ni recensement. Parade : demander l’inventaire de tous les outils en ligne utilisés, y compris ceux installés en dehors du service informatique.
Les questions à poser avant de signer
Avant de signer, quelques questions permettent de vérifier le sérieux d’une offre :
- Le travail couvre-t-il la sécurité technique, et pas seulement les documents ? Les accès, les postes, les sauvegardes et la journalisation doivent figurer au périmètre.
- Les sous-traitants sont-ils inventoriés ? Chaque prestataire qui traite des données pour l’entreprise doit être identifié, avec ses clauses et le lieu de stockage.
- Les durées de conservation sont-elles appliquées dans les logiciels ? Une durée écrite dans un document, sans paramétrage, reste théorique.
- Qui tient le registre à jour ensuite, et selon quel rythme ? Un registre sans responsable devient vite obsolète.
Pour démarrer, décrivez votre projet dans le formulaire de demande de devis : un spécialiste de la conformité RGPD vous recontacte, gratuitement et sans engagement.