RGPD

Explication détaillée : les enjeux pour la PME

Toute entreprise qui traite des données personnelles, comme les coordonnées de clients, les données de ses salariés ou les prospects de son CRM, est concernée, quelle que soit sa taille. Le règlement pose des principes : collecter uniquement les données nécessaires, informer les personnes, les conserver pour une durée limitée et les protéger.

L’outil central est le registre des activités de traitement. Selon la CNIL, tous les organismes doivent en tenir un. Les organismes de moins de 250 salariés bénéficient d’une exemption limitée : ils doivent au minimum y consigner les traitements non occasionnels, comme la paie ou la gestion des clients, ceux susceptibles de comporter un risque pour les droits des personnes et ceux portant sur des données sensibles. La CNIL précise que cette exemption vise des cas très particuliers, et recommande d’y inscrire aussi les traitements pour lesquels on hésite.

Les personnes disposent de droits : accès, rectification, effacement, opposition, limitation et portabilité. L’entreprise doit pouvoir répondre à leurs demandes dans les délais prévus. Pour une PME, une bonne base est de lister ses traitements, de vérifier les durées de conservation, de sécuriser les accès et de désigner un référent. Les outils no-code et le CRM sont des points de vigilance fréquents. Cette fiche est une information générale, à compléter par l’avis d’un conseil.

Cas pratique

Une PME de 45 personnes établit son registre en 3 semaines. Elle recense 11 traitements : paie, recrutement, gestion des clients, prospection, facturation, vidéosurveillance et d’autres. L’exercice révèle 3 durées de conservation non définies et un outil no-code contenant des données clients accessible à 14 personnes, dont 6 sans besoin. Après correction, chaque traitement a une finalité, une durée et un responsable, et l’accès à l’outil est limité à 8 personnes.

Schémas