La mise en conformité RGPD consiste à vérifier que les traitements de données réellement mis en œuvre par une entreprise respectent les règles applicables et, lorsque ce n’est pas le cas, à corriger les écarts identifiés.
La démarche part des pratiques de l’entreprise et doit permettre de hiérarchiser les mesures à prendre.
Une fois ces premières mesures prises, encore faut-il les actualiser lorsque les outils, les prestataires ou les usages évoluent.
Vous souhaitez évaluer la conformité de vos traitements de données ? Le Cabinet Bouchara & Avocats accompagne les entreprises en matière de RGPD et de protection des données, de l’audit initial à la mise en œuvre des mesures nécessaires.
L’essentiel sur la mise en conformité RGPD
- La démarche doit partir des traitements effectivement réalisés par l’entreprise.
- Le registre recense les traitements et guide le plan d’action. Les mesures doivent ensuite être mises en œuvre et suivies dans le temps.
- Les écarts doivent être traités en fonction de leur niveau de risque et de leur caractère prioritaire.
- L’entreprise doit conserver les éléments permettant de justifier ses choix et les mesures mises en œuvre.
Que recouvre une mise en conformité RGPD ?
La mise en conformité RGPD ne consiste pas à accumuler des documents. Une politique de confidentialité, un bandeau cookies ou un registre ne suffisent pas, à eux seuls, à établir la conformité d’une entreprise.
L’analyse porte sur les traitements réellement mis en œuvre : leur finalité, leur base légale, les données collectées, leur durée de conservation, leur sécurité, mais aussi l’information des personnes, l’exercice de leurs droits, les relations avec les prestataires et les éventuels transferts vers des pays tiers.
Le Règlement général sur la protection des données (RGPD) impose en outre à l’entreprise de pouvoir justifier ses choix et démontrer sa conformité, au regard des mesures mises en œuvre.
Comment évaluer le niveau de conformité au RGPD de son entreprise ?
Un audit RGPD ne se limite pas à la lecture des documents disponibles. Il doit les confronter aux pratiques réelles.
L’analyse peut ainsi porter sur la gouvernance de la conformité, le registre, les bases légales retenues, les durées de conservation, les habilitations, les mesures de sécurité, les contrats conclus avec les prestataires ou encore les flux de données vers des pays tiers.
L’audit suppose souvent d’échanger avec les équipes RH, marketing, commerciales, informatiques ou produit pour comprendre les usages réels des données.
Il est fréquent qu’une société dispose d’une politique de confidentialité à jour tout en conservant, par exemple, certaines données de son CRM sans durée de conservation définie.
L’audit doit donc déboucher sur un plan d’action. Chaque écart doit ensuite être associé à une action, un responsable et une échéance, en commençant par les risques les plus importants.
Quelles sont les étapes d’une mise en conformité RGPD ?
Définir le périmètre et le pilote de la démarche
La première étape consiste à définir précisément le périmètre de l’audit : entités concernées, activités, outils et prestataires. Un audit limité au site Internet serait incomplet si l’entreprise gère également des fichiers clients, des candidatures, des données de salariés ou des campagnes de prospection.
La démarche doit également avoir un pilote identifié, DPO ou référent interne.
Cartographier les traitements de données personnelles
La cartographie recense les traitements liés aux activités de l’entreprise : prospection, clients, recrutement, paie, fournisseurs, publicité, IA ou services en ligne.
Pour chaque traitement, le registre des activités de traitement précise sa finalité, les données concernées, leurs destinataires, leur durée de conservation et les principales mesures de sécurité.
Vérifier la licéité et la proportionnalité
Chaque traitement de données doit poursuivre une finalité déterminée et reposer sur une base légale appropriée. Le consentement n’est que l’une des bases possibles.
Selon le principe de minimisation des données, seules les données personnelles nécessaires à la finalité poursuivie doivent être collectées. Il faut ensuite déterminer leur durée de conservation, informer les personnes concernées et leur permettre d’exercer leurs droits (articles 5 et 6 du RGPD).
Évaluer les risques et la sécurité des données
L’analyse porte sur les habilitations, l’authentification, les sauvegardes, la confidentialité, la traçabilité, la suppression et la gestion des incidents.
Ces mesures doivent répondre aux risques que le traitement présente pour les personnes (article 32 du RGPD).
Encadrer les prestataires et les transferts de données
Pour chaque prestataire, il faut qualifier son rôle, vérifier les clauses applicables et identifier ses éventuels sous-traitants.
En présence d’un transfert vers un pays tiers, l’entreprise doit aussi connaître le flux, le pays destinataire et le mécanisme juridique utilisé pour l’encadrer (article 28 et chapitre V du RGPD).
Corriger les écarts et conserver les preuves
La mise en conformité devient effective lorsque les mesures sont appliquées : modification d’un formulaire, suppression de données inutiles, paramétrage d’une durée, limitation des habilitations, révision d’un contrat ou formation des équipes.
Les décisions, les fichiers validés et les corrections réalisées doivent également être documentés et conservés afin de pouvoir démontrer les mesures mises en œuvre.
Le conseil de Vanessa Bouchara
« Une entreprise peut disposer de documents très complets et rester exposée si ses équipes ne les appliquent pas. L’enjeu est de faire correspondre les règles internes aux traitements réellement mis en œuvre. »
Vanessa Bouchara, avocate fondatrice du Cabinet Bouchara & Avocats
Quels documents permettent de démontrer sa conformité RGPD ?
Les documents nécessaires varient selon les traitements réalisés.
| Document ou procédure | Utilité |
|---|---|
| Registre des traitements | Recenser et piloter les traitements |
| Mentions d’information | Informer les personnes concernées |
| Politique de conservation des données | Fixer les durées et organiser la suppression |
| Procédure d’exercice des droits | Traiter les demandes reçues |
| Contrats de sous-traitance | Encadrer les prestataires |
| Procédure de gestion des violations | Organiser la réaction en cas d’incident |
| AIPD | Analyser certains traitements présentant un risque élevé |
| Documentation des transferts | Documenter et encadrer les transferts vers des pays tiers |
| Politiques internes | Traduire les règles dans l’organisation |
Le choix des documents dépend des traitements, des risques et de l’organisation. Chacun doit rester à jour.
Quand faut-il désigner un DPO ou réaliser une AIPD ?
La désignation d’un DPO est obligatoire notamment pour les organismes publics et lorsque les activités de base impliquent un suivi régulier et systématique à grande échelle ou un traitement à grande échelle de données sensibles ou de données relatives aux condamnations pénales et aux infractions (article 37 du RGPD).
Une AIPD est requise lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés. L’IA, la vidéosurveillance ou l’utilisation de données sensibles constituent des éléments pouvant conduire à la réalisation d’une AIPD, à apprécier au regard des caractéristiques du traitement et des critères applicables (article 35 du RGPD).
Comment maintenir sa conformité RGPD dans le temps ?
Un registre établi une fois puis oublié perd rapidement son utilité.
L’arrivée d’un nouveau logiciel, un changement de prestataire, une campagne marketing, le lancement d’un produit, un nouvel usage de l’IA ou la modification d’une durée de conservation doivent conduire à vérifier les conséquences sur les traitements existants.
Il en va de même après un incident de sécurité ou lorsqu’une demande d’exercice de droit révèle une difficulté dans les procédures internes.
Le suivi suppose donc de mettre à jour le registre, de revoir les prestataires et les procédures, de sensibiliser les équipes et d’intégrer la protection des données personnelles suffisamment tôt dans les nouveaux projets.
Quand faire appel à un avocat pour sa mise en conformité RGPD ?
Certaines situations appellent une analyse juridique plus poussée, notamment en présence de traitements complexes, de données sensibles, de plusieurs prestataires ou de transferts de données à l’international.
Le Cabinet Bouchara & Avocats peut alors intervenir pour revoir les traitements existants, sécuriser les contrats, encadrer les transferts de données, réaliser ou accompagner une AIPD, mettre à jour la documentation ou encore former les équipes.
Le cabinet peut également intervenir comme DPO externe lorsque l’organisation de l’entreprise le justifie.
Vous souhaitez faire le point sur votre conformité RGPD ?
FAQ
Une TPE est-elle obligée de respecter le RGPD ?
Oui. Le RGPD s’applique dès lors que l’entreprise traite des données personnelles dans le cadre de son activité. La taille de la structure ne suffit pas à écarter les obligations du règlement. En revanche, les mesures à prévoir doivent être appréciées en fonction des traitements réalisés, des données concernées et des risques qu’ils présentent.
Le registre des traitements est-il obligatoire pour toutes les entreprises ?
Pas systématiquement. L’article 30 du RGPD prévoit une exception pour certaines structures de moins de 250 salariés, mais cette exception reste limitée. Elle ne joue notamment pas lorsque les traitements sont réguliers, présentent un risque pour les personnes, portent sur des catégories particulières de données ou des données relatives aux condamnations pénales et aux infractions.
Combien de temps faut-il pour se mettre en conformité ?
Il n’existe pas de durée standard. Tout dépend du nombre de traitements, de l’état de la documentation existante, des contrats à revoir et des équipes à mobiliser. Une entreprise qui dispose déjà d’un registre à jour n’est évidemment pas dans la même situation qu’une structure qui doit reprendre l’ensemble de sa conformité. Les points les plus sensibles doivent, dans tous les cas, être traités en priorité.
Quel est le coût d’une mise en conformité RGPD ?
Le coût dépend avant tout du périmètre de la mission. Un audit ponctuel n’implique pas le même travail qu’un accompagnement complet comprenant la revue des traitements, des contrats, des transferts de données, des éventuelles AIPD ou encore la mise à jour de la documentation. Le budget ne peut donc être apprécié qu’après avoir identifié précisément les besoins de l’entreprise.
Sources
- CNIL, « Me mettre en conformité »
- CNIL, « RGPD : par où commencer ? »
- CNIL, « Le registre des activités de traitement »
- CNIL, « Documenter la conformité »
- CNIL, « Guide de la sécurité des données personnelles »
- Règlement (UE) 2016/679 : articles 5, 6, 28, 30, 32, 35 et 37
