RGPD : les enjeux pour la PME
Toute entreprise qui traite des données personnelles, comme les coordonnées de clients, les données de ses salariés ou les prospects de son CRM, est concernée, quelle que soit sa taille. Le règlement pose des principes : collecter uniquement les données nécessaires, informer les personnes, les conserver pour une durée limitée et les protéger.
L’outil central est le registre des activités de traitement. Selon la CNIL, tous les organismes doivent en tenir un. Les organismes de moins de 250 salariés bénéficient d’une exemption limitée : ils doivent au minimum y consigner les traitements non occasionnels, comme la paie ou la gestion des clients, ceux susceptibles de comporter un risque pour les droits des personnes et ceux portant sur des données sensibles. La CNIL précise que cette exemption vise des cas très particuliers, et recommande d’y inscrire aussi les traitements pour lesquels on hésite.
Les personnes disposent de droits : accès, rectification, effacement, opposition, limitation et portabilité. L’entreprise doit pouvoir répondre à leurs demandes dans les délais prévus. Pour une PME, une bonne base est de lister ses traitements, de vérifier les durées de conservation, de sécuriser les accès et de désigner un référent. Les outils no-code et le CRM sont des points de vigilance fréquents. Cette fiche est une information générale, à compléter par l’avis d’un conseil.
Exemple
Une PME de 45 personnes établit son registre en 3 semaines. Elle recense 11 traitements : paie, recrutement, gestion des clients, prospection, facturation, vidéosurveillance et d’autres. L’exercice révèle 3 durées de conservation non définies et un outil no-code contenant des données clients accessible à 14 personnes, dont 6 sans besoin. Après correction, chaque traitement a une finalité, une durée et un responsable, et l’accès à l’outil est limité à 8 personnes.
Questions fréquentes
Une PME doit-elle tenir un registre des traitements ?
En principe, tous les organismes en tiennent un, y compris les petits. Sous 250 salariés, l’exemption est limitée : les traitements non occasionnels, à risque ou sensibles doivent être consignés. Vérifiez votre situation auprès de votre conseil.
Quels sont les risques en cas de non-conformité ?
Le règlement prévoit des sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves. Dans la pratique, la CNIL tient compte de la taille de l’organisme et de sa bonne foi.
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.