Conformité RGPD : par où commencer dans une PME moyenne ?

Réponse rapide : La conformité RGPD d'une PME commence par la carte des traitements et un registre. Pour chaque activité, elle examine prestataires, risques et mesures effectives. Une analyse d'impact précède tout traitement susceptible d'engendrer un risque élevé. Le plan attribue chaque écart à un responsable et à une preuve de correction.^1,2,3

Résumé sous forme de carte mentale

Conformité RGPD : par où commencer dans une PME moyenne ?
│
├─ Cartographier
│   ├─ Décrire les activités réelles
│   ├─ Repérer données et destinataires
│   └─ Garder visibles les inconnues
│
├─ Documenter
│   ├─ Tenir le registre des traitements
│   ├─ Examiner les garanties des prestataires
│   └─ Justifier bases et durées séparément
│
├─ Sécuriser
│   ├─ Évaluer trois dimensions du risque
│   ├─ Vérifier les mesures effectivement en place
│   └─ Analyser l'impact avant un risque élevé
│
└─ Piloter les écarts
    ├─ Associer chaque écart à une activité
    ├─ Nommer un responsable et une preuve
    └─ Revoir les mesures quand nécessaire

Choisir le point de départ

Dans une PME de logistique, les dossiers personnels ne forment pas un seul bloc. Les contacts des clients servent à organiser les livraisons; les données des salariés servent à gérer le travail; un prestataire peut accéder à une partie des informations pour une activité précise. La conformité RGPD commence par une carte de ces activités, avant le choix d'un modèle de politique ou d'un logiciel de suivi. Cette carte rend visibles les décisions que l'entreprise doit expliquer ^1,2.

Le premier arbitrage oppose deux manières de travailler. La première classe des documents par nom : politique, registre, contrat, procédure. La seconde part d'une activité et demande quels documents et contrôles expliquent sa réalité. L'article 24, paragraphe 1, exige des mesures techniques et organisationnelles appropriées, la capacité d'en démontrer l'application, et leur révision ou mise à jour lorsque c'est nécessaire ¹. La seconde manière offre donc une relation vérifiable entre opération et mesure.

La carte initiale peut tenir dans un tableau simple. Elle indique la finalité de chaque activité, les personnes concernées, les catégories de données, les destinataires et les systèmes utilisés. Ce n'est pas un formulaire universel fixé par l'article 24; c'est un outil pour recueillir les éléments nécessaires au registre de l'article 30 et à la revue des risques. Une ligne restée inconnue doit être signalée comme telle plutôt que remplie par hypothèse ^1,2.

Une direction peut nommer une personne chargée de rassembler les réponses sans prétendre que cette désignation résout, à elle seule, la question d'un délégué à la protection des données. Le sujet du DPO réclame son propre test; les trois sources de ce guide ne permettent pas de le déduire du seul effectif de 50 à 500 personnes. Le plan doit garder cette question visible jusqu'à sa résolution.

Cartographier les traitements et les flux

La cartographie suit le parcours des données plutôt que l'organigramme seul. Pour les livraisons, l'entreprise peut relever le point de collecte, les personnes ayant accès aux données, le système de planification, l'éventuel prestataire et la sortie prévue des données. Pour les dossiers du personnel, elle réalise une ligne distincte. Cette séparation aide à voir qu'une même application peut servir plusieurs finalités et qu'une même activité peut traverser plusieurs outils.

L'article 30, paragraphe 1, demande que le registre du responsable décrive notamment finalités, catégories de personnes concernées et de données, destinataires, transferts pertinents vers des pays tiers, délais d'effacement envisagés lorsque c'est possible et description générale des mesures de sécurité lorsque c'est possible ¹. La carte doit préparer ces réponses, sans réduire le registre à une liste d'applications ou à un dessin de l'infrastructure.

L'EDPB précise qu'un registre peut être tenu par écrit, y compris sous forme électronique, et qu'il décrit les mêmes grandes familles d'informations : finalités, catégories, destinataires, transferts pertinents, périodes possibles de conservation et sécurité ². Cette forme écrite facilite une vérification concrète. Si un service change de prestataire, on peut retrouver l'activité concernée et voir si le destinataire inscrit correspond encore à la pratique.

La cartographie a aussi une utilité de tri. Les flux non identifiés sont des questions à résoudre; les flux confirmés peuvent être reliés à une personne interne chargée d'en suivre les changements. Cette méthode ne prétend pas qu'une application inconnue est illégale. Elle évite de signer un dossier de conformité qui ne décrit pas ce que la PME fait effectivement.

Le guide sur les rôles de responsable et de sous-traitant complète cette étape lorsqu'un flux implique une autre organisation. La question du rôle se pose activité par activité : qui décide ce que les données servent à faire, et qui agit pour le compte d'une autre partie ? Une conclusion reprise mécaniquement pour tous les fournisseurs ne représenterait pas les faits.

Bases juridiques et durées : que noter ?

Chaque finalité de la carte doit être suffisamment précise pour que l'entreprise puisse examiner sa base juridique et la durée pendant laquelle les données restent nécessaires. Le dossier peut porter deux colonnes séparées : « base à confirmer » et « durée ou événement de fin à confirmer ». Cette façon de travailler ne prétend pas déduire la base applicable d'un simple nom de logiciel; la réponse dépend de l'opération décrite.

L'article 6, paragraphe 1, énumère six bases possibles, à apprécier pour chaque finalité; aucune ne découle du seul nom du logiciel ¹. Le principe de limitation de la conservation, à l'article 5, paragraphe 1, point e), demande de ne garder les données identifiables que pendant la durée nécessaire aux finalités, sous réserve des conditions prévues pour certains usages ultérieurs ¹. Il n'en résulte aucune durée universelle pour les livraisons ou les dossiers du personnel.

Une date unique apposée à toutes les lignes créerait une fausse précision. Le travail utile consiste à associer la période retenue à la finalité et à l'événement qui permet de constater sa fin. Pour les contacts de livraison, cela peut être une question de projet à documenter; pour le personnel, une autre analyse est nécessaire. Ces exemples montrent la méthode de distinction, sans fixer une durée juridique générale.

Il ne faut pas attendre qu'un tableau paraisse complet pour signaler les décisions manquantes. L'article 24 exige que les mesures soient revues et mises à jour lorsque cela est nécessaire ¹. Une question ouverte avec un responsable et une date de retour est plus contrôlable qu'une réponse copiée dans toutes les lignes.

Tenir un registre qui sert aux décisions

Une fois la carte stabilisée, le registre traduit chaque activité dans les champs de l'article 30. Pour l'exemple de la logistique, une ligne consacrée aux livraisons peut nommer ses finalités, les catégories de personnes et de données, les destinataires, un éventuel transfert pertinent, le délai d'effacement envisagé lorsque cela est possible et les mesures générales de sécurité lorsque cela est possible ¹. L'exemple illustre la structure, sans remplir à la place de la PME les cellules qui exigent une enquête.

Le registre n'est pas un inventaire de formulaires ni une copie des données personnelles. Il décrit les activités de traitement, ce qui permet à un collègue de repérer la ligne touchée par un nouveau fournisseur ou une nouvelle finalité. L'EDPB rappelle que l'écrit, même électronique, doit contenir des informations sur les finalités, catégories, destinataires, transferts, conservation et sécurité ². Le fichier doit rester lisible par la personne qui le mettra à jour.

Il faut également distinguer « non applicable » de « inconnu ». Si aucun transfert pertinent n'a été identifié après examen, la ligne peut le refléter; si personne n'a encore vérifié le flux du prestataire, la case ne doit pas donner la même impression. Ce choix d'organisation rend la revue plus honnête et aide à prioriser la collecte des informations manquantes.

Un contrôle de cohérence consiste à comparer le registre avec une activité effectivement observée. L'équipe suit une livraison depuis la commande jusqu'à la fin du service et note les destinataires réels. La différence entre ce parcours et la ligne du registre devient une action. Le registre doit ainsi servir à revoir la pratique plutôt qu'à satisfaire une demande documentaire isolée.

La démarche de gouvernance des données et de l'IA donne une vue plus large lorsque les mêmes équipes examinent d'autres systèmes. Pour le RGPD, la preuve reste attachée aux traitements de données personnelles et aux éléments du registre décrit par l'article 30 ¹.

Examiner les prestataires

L'article 28, paragraphe 1, demande au responsable de recourir uniquement à des sous-traitants qui présentent des garanties suffisantes pour mettre en œuvre des mesures techniques et organisationnelles appropriées, de façon à satisfaire les exigences du RGPD et à protéger les droits des personnes ¹. La PME doit donc regarder au-delà de la disponibilité commerciale ou du prix d'un service avant de lui confier une activité de traitement.

Pour chaque prestataire mentionné dans la carte, le dossier peut réunir le service rendu, les données concernées, les personnes qui y accèdent, les garanties présentées et la personne qui les a examinées. Ces éléments constituent une méthode d'évaluation du partenaire pour l'activité précise. Ils ne signifient pas que tout fournisseur de l'entreprise est automatiquement un sous-traitant au sens de l'article 28.

Après la qualification du rôle, vérifiez le contrat ou autre acte juridique exigé par l'article 28, paragraphe 3. Il doit définir l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes, ainsi que les obligations et droits du responsable ¹. Le contrat de sous-traitance pour une petite entreprise aide à documenter cette relation.

Un fournisseur peut être présent dans plusieurs lignes du registre. La PME peut alors établir une fiche commune sur les garanties, tout en conservant les finalités et les flux propres à chaque activité. Cela évite qu'une évaluation générale du nom du prestataire tienne lieu d'analyse de chaque traitement. L'article 28 parle de garanties adéquates au regard des mesures nécessaires et des droits des personnes, pas d'un label commercial suffisant en lui-même ¹.

Si des données circulent hors de l'Espace économique européen, la ligne du registre doit aussi rendre visible le transfert pertinent ^1,2. Les trois pages citées n'indiquent pas, pour chaque prestataire de la PME, si un transfert a lieu ni quelles garanties particulières lui sont applicables. Le guide sur l'application du GDPR au-delà de l'UE donne un contexte distinct; la décision sur un flux précis demande ses propres faits.

Prioriser la sécurité selon le risque

Le guide de l'EDPB propose d'examiner séparément les effets possibles sur la confidentialité, l'intégrité et la disponibilité des données. Il demande d'identifier les risques, de mettre en œuvre et de vérifier les mesures planifiées, puis de suivre les plans d'action issus d'audits périodiques au niveau le plus élevé de l'organisation ³. Cette logique permet d'ordonner le travail sans affirmer que tous les dossiers exigent le même contrôle.

Pour la planification des livraisons, l'équipe peut considérer qui verrait des coordonnées sans autorisation, ce qui se passerait si une adresse était modifiée et les conséquences d'une indisponibilité du système. Pour les dossiers du personnel, elle recommence avec des personnes, des accès et des effets différents. Ce sont des scénarios de risque destinés à guider l'analyse; ils ne chiffrent pas le niveau de risque de la PME avant observation.

Une mesure planifiée n'est pas une mesure vérifiée. Le dossier doit séparer la décision de contrôle de son état effectif. Une règle de limitation d'accès peut exister dans une politique mais ne pas être reflétée dans les droits des comptes; une sauvegarde annoncée peut n'avoir jamais été restaurée lors d'un exercice. L'EDPB insiste sur la mise en œuvre et la vérification des mesures prévues ³.

La direction devrait voir les exceptions qui nécessitent un arbitrage. Un tableau de risques sans décision sur les écarts les plus sérieux ne montre pas la mise en œuvre du plan d'action évoquée par l'EDPB ³. L'article 24 demande en outre de revoir et d'actualiser les mesures lorsque cela est nécessaire ¹. La fréquence concrète dépendra de l'activité et des changements constatés; les sources de ce guide ne donnent pas une périodicité unique pour tous les contrôles.

Analyse d'impact et question du DPO

L'article 35, paragraphe 1, exige une analyse d'impact avant un traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes ¹. La chronologie est essentielle : l'évaluation requise vient avant le traitement. Une ligne « à faire après lancement » ne satisferait pas la condition temporelle citée. Pour décider, la PME doit décrire l'activité envisagée et expliquer son appréciation du risque.

Le fait de changer d'outil n'établit pas automatiquement un risque élevé; l'absence d'incident connu ne démontre pas non plus que le risque est faible. L'examen peut partir de la finalité, des personnes concernées, des données et des conséquences possibles, puis consigner la raison de la conclusion. Si le seuil de l'article 35 est atteint, l'analyse est à réaliser avant la mise en œuvre. Ce guide ne classifie pas à distance tous les projets d'une entreprise.

L'article 37, paragraphe 1, impose un DPO pour un traitement effectué par une autorité ou un organisme public, sauf les juridictions agissant dans leur fonction juridictionnelle. Il le prévoit aussi lorsque les activités de base exigent une surveillance régulière et systématique des personnes à grande échelle, ou un traitement à grande échelle de données sensibles ou relatives aux condamnations et infractions ¹. L'article 37, paragraphe 4, laisse place aux autres exigences du droit applicable; l'effectif seul ne suffit pas.

La notification d'une violation suit encore un autre déclencheur : l'article 33 demande une notification à l'autorité sans retard injustifié et, si possible, dans les 72 heures de la prise de connaissance, sauf si un risque pour les droits et libertés est improbable; tout retard au-delà de ce délai doit être motivé ¹.

Transformer les écarts en plan suivi

Après la carte, le registre, les prestataires et la sécurité, il faut décider quoi faire des différences observées. Chaque écart devrait indiquer l'activité concernée, la règle ou la mesure attendue, l'état réellement constaté, la personne responsable et la preuve attendue pour fermer l'action. C'est une méthode de pilotage qui matérialise la révision et la démonstration demandées à l'article 24 ¹.

Il est utile de séparer une question factuelle d'une correction technique. « On ignore si le fournisseur reçoit les données » appelle une enquête sur le flux; « un compte conserve un accès inutile » appelle une décision sur cet accès. La première ne se ferme pas avec une nouvelle politique, la seconde ne se ferme pas par une simple réponse orale. Chaque action doit correspondre au type d'écart constaté.

Le guide de l'EDPB demande que les audits périodiques de sécurité débouchent sur des plans d'action suivis au plus haut niveau ³. Pour une PME, cela signifie qu'un responsable de direction peut voir les points non clos et décider des ressources nécessaires. Le tableau n'a pas besoin de prétendre que tout est résolu à la première revue; il doit rendre vérifiable ce qui a été corrigé et ce qui reste en attente.

En toutes lettres, le parcours part d'une activité réelle; on remplit les éléments du registre, on vérifie les prestataires concernés et les risques de sécurité, puis on examine avant le traitement si un risque élevé impose une analyse d'impact. Les écarts deviennent des actions attribuées et revues ^1,2,3.

Prochaines étapes

Choisissez une activité de la PME et suivez son parcours réel avec l'équipe qui l'exécute. Rédigez sa ligne de registre, identifiez tout prestataire qui traite les données pour le compte de l'entreprise, puis comparez les mesures de sécurité prévues à celles qui fonctionnent. Notez les questions ouvertes sur la base juridique, la durée, le risque élevé et le DPO, chacune avec une personne chargée de la résoudre ^1,2,3.

Le GDPR Accountability Documentation génère, à partir des réponses de votre entreprise, un registre des traitements et un accord de sous-traitance pour chaque prestataire que vos réponses déclarent, lorsque ces documents sont nécessaires.