Mise en conformité RGPD : le guide pratique en 5 étapes
- xdpo
- 4 janv. 2022
- 5 min de lecture
Dernière mise à jour : 27 nov.
Vous êtes dirigeant de PME, responsable d'association ou agent d'une collectivité de moins de 30 000 habitants ? Vous savez que vous devez "faire quelque chose" pour le RGPD (Règlement Général sur la Protection des Données). Mais entre la peur des sanctions, le manque de temps et le jargon technique, le sujet ressemble à une montagne.
Vous avez consulté le site de la CNIL, lu quelques guides, et vous êtes probablement encore plus perdu qu'au départ.
La bonne nouvelle ? Vous n'êtes pas seul. Et surtout, vous n'avez pas besoin d'un service juridique complet pour démarrer. En tant que cabinet de conseil spécialisé auprès de structures comme la vôtre, nous savons que le pragmatisme est la clé.
Oubliez la complexité. La mise en conformité RGPD de votre PME ou de votre association peut démarrer par des actions de bon sens. Voici 5 étapes concrètes pour (enfin) passer à l'action, sans paniquer.
Étape 1 : Cartographier vos données (en commençant par les logiciels)
Avant de protéger quoi que ce soit, il faut savoir ce que vous avez. Mais lister toutes les données de votre structure semble titanesque.
Notre astuce ? Pour recenser les données, commencez par recenser vos logiciels !
Aujourd'hui, presque toutes les données personnelles (clients, membres, salariés, administrés...) sont dans un logiciel.
Faites la liste :
Logiciel de paie / RH (ex: Silae, Payfit)
Logiciel de facturation / CRM (ex: Sellsy, Axonaut)
Outil de newsletter (ex: MailChimp, Brevo)
Votre site internet (formulaire de contact)
Logiciel "métier" (ex: gestion de dossiers, réservation...)
N'oubliez pas les fichiers Excel partagés !
Pour chaque logiciel, demandez-vous simplement : "À quoi il sert ?", "Quelles données contient-il (nom, email, adresse...?)", "Où sont hébergées ces données (chez vous ou dans le cloud ?)".
Félicitations. Sans le savoir, vous venez de créer l'embryon de votre Registre des traitements, le document central de votre conformité.
Étape 2 : Sécuriser les données (la cybersécurité PME au cœur du RGPD)
Le RGPD (article 32) est très clair : vous avez une obligation de sécurité. Cela peut faire peur, mais là encore, commençons par les bases. La protection des données commence par des mesures de cybersécurité PME simples et efficaces.
N'oubliez pas les données papier ! Un placard qui ferme à clé pour les dossiers du personnel est une mesure de sécurité RGPD.
Pour le numérique, la majorité de vos risques peuvent être couverts par des gestes simples.
Notre astuce : La méthode « MMS » Pour sécuriser les données manipulées par vos équipes, imposez ces 3 règles :
Mises à jour : Tous les logiciels (Windows, navigateurs, antivirus) doivent être à jour.
Mots de passe : Complexes (12 caractères, chiffres, symboles), uniques par service, et changés régulièrement.
Sauvegardes : Automatiques, testées, et si possible, une copie hors-ligne. En cas de cyberattaque, c'est votre seule assurance-vie.
Focus : RGPD et NIS2, même combat ?
Vous entendez parler de la nouvelle directive NIS2 ? C'est la "cousine" du RGPD.
Le RGPD protège les données (ex: un fichier client).
NIS2 protège les systèmes (ex: le serveur qui héberge ce fichier) et leur capacité à se rétablir suite à une incident
Pour une PME, l'approche est la même : améliorer votre cybersécurité de base vous protège à la fois des violations de données (sanctions RGPD) et des interruptions d'activité (impact NIS2). Un bon audit de sécurité PME couvre les deux aspects.
Étape 3 : Documenter (pour prouver votre bonne foi)
Le principe fondamental du RGPD s'appelle "l'accountability". En français simple : vous devez être capable de prouver ce que vous faites.
Si la CNIL vous contrôle, elle ne s'attend pas à ce que tout soit parfait (surtout pour une petite structure). En revanche, elle veut voir que vous avez commencé le travail, que le sujet est pris au sérieux et que vous pouvez le démontrer.
C'est là que le fameux Registre des traitements (commencé à l'étape 1) devient crucial. C'est le "carnet de bord" de votre conformité.
Notre astuce : Le "Dossier RGPD" centralisé N'attendez pas d'avoir des documents parfaits. Créez dès aujourd'hui un dossier partagé (sur votre serveur, SharePoint, Google Drive...) nommé "CONFORMITÉ RGPD" et mettez-y tout ce que vous rassemblez :
Vos contrats avec les sous-traitants (logiciels cloud, expert-comptable...).
Vos modèles de mentions d'information.
Vos procédures internes (même si c'est un simple brouillon Word).
La liste de vos logiciels (de l'étape 1).
Ce dossier sera une mine d'or en cas de contrôle, ou simplement pour le jour où vous déciderez de vous faire accompagner par un DPO (Délégué à la Protection des Données).
Étape 4 : Savoir gérer les demandes de droits
Les données que vous traitez ne vous "appartiennent" pas. Elles appartiennent aux personnes (vos clients, vos salariés, vos membres). Le RGPD leur donne des droits : droit d'accès, de suppression, de rectification...
En général, les PME et associations reçoivent peu de demandes, mais le risque est grand si vous n'y répondez pas. Le silence est souvent ce qui motive une plainte à la CNIL.
De plus, les délais sont très courts (répondre "dans les meilleurs délais" et au plus tard sous 30 jours). Vous devez donc savoir qui fait quoi.
Notre astuce : Un point de contact clair : nul besoin de créer un système complexe.
Créez une adresse e-mail simple (ex: dpo@votrepme.fr ou privacy@votreasso.fr).
Mentionnez la clairement sur la page "Contact" ou "Mentions légales" de votre site.
Assurez-vous que cette boîte est relevée par quelqu'un (ex: le dirigeant, l'assistante de direction) qui saura à qui transférer la demande.
Le simple fait d'accuser réception rapidement désamorce 90% des situations.
Étape 5 : Mettre votre site internet en conformité
Votre site web est la vitrine publique de votre sérieux. C'est souvent le premier (et le seul) élément que vos prospects, clients ou la CNIL verront de votre conformité RGPD.
Un site qui inspire confiance, c'est un avantage concurrentiel direct. À l'inverse, un site non conforme est une "cible facile" pour les plaintes.
Quels sont les points clés ?
Une Politique de confidentialité : Une page dédiée qui explique simplement quelles données vous collectez (via les formulaires de contact), pourquoi, et comment exercer ses droits (avec l'email de l'étape 4 !).
Un bandeau cookies : Si vous utilisez des outils d'analyse (ex: Google Analytics) ou de la publicité, votre bandeau doit permettre de "Refuser" aussi facilement que "d'Accepter".
Des mentions sous les formulaires : Une petite phrase sous votre formulaire de contact rappelant pourquoi vous collectez l'email (ex: "pour répondre à votre demande") est essentielle.
Conclusion : Le RGPD est un marathon, pas un sprint
La mise en conformité RGPD pour une PME ou une association n'est pas un projet ponctuel, c'est un processus continu basé sur le bon sens.
En suivant ces 5 étapes, vous avez déjà couvert l'essentiel. Vous avez cartographié (Étape 1), sécurisé (Étape 2), documenté (Étape 3), préparé les réponses (Étape 4) et mis à jour votre vitrine (Étape 5).
Vous avez démarré.
Et si vous vous sentez bloqué, ou si vous souhaitez simplement un avis extérieur pour prioriser vos actions, nous sommes là pour ça.
Vous ne savez pas par où commencer ?
Nos experts sont habitués aux réalités des PME, associations et petites collectivités. Nous ne vous vendrons pas une usine à gaz, mais un plan d'action pragmatique.
Réservez votre diagnostic flash gratuit de 30 minutes pour évaluer votre niveau de risque RGPD .
Les internautes ont aussi consulté dans le Blog :