RGPD,
relié à votre sécurité.

Conformité RGPD : organiser les décisions autour des données personnelles

Une liste de candidats envoyée à un nouveau prestataire modifie les accès, les destinataires et parfois la durée de conservation des données. La conformité RGPD consiste à repérer ces changements avant qu'ils deviennent des habitudes. Elle demande des décisions compréhensibles par les métiers, puis des vérifications dans les outils réellement utilisés.

Le bon point de départ est une activité concrète : recruter, livrer une commande ou traiter une réclamation. Déterminez les informations nécessaires, les attentes des personnes et les responsabilités.

Identifier les organismes et les rôles concernés

Le RGPD s'applique aux traitements effectués dans le cadre des activités d'un établissement dans l'Union européenne, même lorsque les opérations ont lieu ailleurs. Son article 3 vise aussi certains organismes établis hors de l'Union lorsqu'ils offrent des biens ou services aux personnes qui s'y trouvent, ou y suivent leur comportement. La nationalité des personnes n'est pas le critère déterminant.

Le responsable du traitement détermine les finalités et les moyens. Le sous-traitant agit pour son compte. Ces qualifications reposent sur les décisions effectives, pas uniquement sur les intitulés contractuels. Un organisme peut avoir des rôles différents selon les activités ; des décisions communes peuvent également conduire à examiner une responsabilité conjointe.

Il n'existe pas d'exemption générale pour les petites entreprises. L'exception de l'article 30 pour les organismes de moins de 250 personnes est limitée. Elle ne couvre notamment pas les traitements non occasionnels, susceptibles de présenter un risque pour les droits et libertés, ou portant sur certaines données sensibles ou pénales. Analysez chaque activité avant de conclure à une dispense de registre.

Les exigences à traduire en pratiques

L'article 5 pose notamment la limitation des finalités, la minimisation, l'exactitude, la limitation de conservation, la sécurité et la responsabilité démontrable. L'article 6 impose une base juridique. Le consentement n'est qu'une possibilité : il n'est pas adapté par défaut à tous les traitements. Les catégories particulières de données nécessitent aussi une condition applicable de l'article 9.

Pour rendre ces principes opérationnels :

• Définissez la finalité et la base juridique avant la collecte.
• Supprimez les champs inutiles et limitez les accès.
• Informez les personnes selon les articles 13 ou 14 applicables.
• Fixez des durées ou critères de conservation et organisez l'effacement.
• Préparez l'exercice des droits dans les systèmes concernés.
• Justifiez les mesures techniques et organisationnelles retenues.

L'article 25 impose la protection des données dès la conception et par défaut. Une revue doit accompagner les nouveaux usages, fournisseurs et fonctionnalités. L'article 32 exige une sécurité adaptée au risque, avec des tests et évaluations réguliers lorsque cela est approprié. Une bonne protection technique ne rend pas licite une finalité injustifiée.

L'article 28 encadre le recours aux sous-traitants : garanties suffisantes, instructions, confidentialité, sécurité, assistance, sous-traitance ultérieure, restitution ou effacement et audits. Les transferts vers des pays tiers demandent une analyse distincte au titre du chapitre V. Un contrat de sous-traitance ne suffit pas à les autoriser.

L'analyse d'impact relative à la protection des données, ou AIPD, est requise par l'article 35 lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés. Elle ne se réduit pas à une analyse de risque cyber. L'article 36 prévoit une consultation préalable de l'autorité lorsque subsiste un risque élevé sans mesures permettant de l'atténuer.

Calendrier et délais de réponse

Le RGPD s'applique depuis le 25 mai 2018. En novembre 2026, les traitements existants ne bénéficient pas d'un nouveau délai général de mise en conformité. Les projets doivent être examinés avant leur déploiement, puis réévalués lorsque leur contexte change.

Selon l'article 12, une demande d'exercice de droits doit recevoir une réponse sans retard injustifié et normalement dans le mois suivant sa réception. Une prolongation de deux mois supplémentaires est possible lorsque la complexité et le nombre de demandes le nécessitent. Informez la personne et motivez cette prolongation pendant le premier mois.

L'article 33 impose au responsable de notifier une violation à l'autorité compétente sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les droits et libertés. Tout retard doit être motivé. Le sous-traitant alerte le responsable sans retard injustifié.

Toutes les violations de données personnelles doivent être documentées, même sans notification. L'article 34 prévoit généralement une information des personnes sans retard injustifié en présence d'un risque élevé, sous réserve de ses exceptions. Distinguez donc documentation, notification à l'autorité et communication aux personnes.

Sanctions et enjeux pour l'activité

L'article 83 prévoit deux niveaux de plafonds : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total d'une entreprise, et 20 millions d'euros ou 4 %, selon le manquement. Le montant le plus élevé s'applique dans chaque catégorie. Ces plafonds ne sont pas des sanctions automatiques.

L'autorité peut également ordonner des corrections, limiter ou interdire un traitement. Une réparation peut être demandée sur le fondement de l'article 82 lorsque ses conditions sont réunies. Les conséquences opérationnelles comprennent aussi des projets suspendus, des recherches de données coûteuses et des relations dégradées avec les personnes concernées.

Un parcours de mise en conformité concret

1. Attribuer les responsabilités. Qualifiez les rôles et identifiez les responsables métier. Vérifiez les conditions de désignation obligatoire d'un délégué à la protection des données selon l'article 37. Définissez les circuits d'arbitrage juridique et de sécurité.

2. Décrire les usages réels. Interrogez les équipes sur la collecte, les destinataires et l'effacement. Incluez les fichiers bureautiques et outils de support. Faites valider les finalités, catégories de données, destinataires et durées par les personnes qui réalisent les opérations.

3. Corriger les écarts de licéité. Vérifiez les bases juridiques, l'information et la conservation. Priorisez les collectes excessives et réutilisations injustifiées.

4. Évaluer les risques et les tiers. Déterminez les besoins d'AIPD. Examinez les mesures de sécurité, les contrats et les transferts internationaux. Attribuez chaque correction à un responsable, avec une décision explicite avant tout lancement présentant un risque élevé.

5. Tester les procédures. Faites circuler une demande d'accès dans les outils concernés. Simulez un export envoyé au mauvais destinataire. Conservez les horaires, évaluations et décisions motivant une notification ou son absence.

6. Déclencher les revues au bon moment. Réexaminez les choix lors des changements de finalité, fournisseur ou accès. Vérifiez les effacements et les habilitations. Clôturez les actions après contrôle du résultat, pas uniquement après réception d'une procédure.

Comment Domyno accompagne cette organisation

Domyno associe une plateforme SaaS et un expert humain dédié. Les agents préparent le travail ; l'humain le valide. L'objectif est de soutenir une préparation structurée, sans remplacer les arbitrages juridiques ni la responsabilité de l'organisme.

La cartographie des actifs aide à organiser les systèmes concernés. Le module Tiers & fournisseurs soutient le travail sur les prestataires. Contrôles & conformité rassemble preuves, plans d'action et bibliothèque commune sur plus de 28 référentiels. Les versions documentaires permettent de conserver les décisions successives et leur contexte.

Source officielle

Pour valider les obligations applicables, consultez le texte du RGPD sur EUR-Lex.

Pour organiser les preuves et les actions entre métiers, protection des données et sécurité, demandez une démonstration Domyno.