La rentrée est souvent synonyme de nouveaux projets : recrutement d’un salarié, changement de logiciel, lancement d’une campagne commerciale, modification du site internet, recours à un nouveau prestataire ou utilisation d’un outil d’intelligence artificielle.
Pris séparément, ces changements peuvent sembler anodins. Pourtant, chacun d’eux peut modifier la manière dont votre entreprise collecte, utilise, partage ou conserve des données personnelles.
Or, la conformité au RGPD n’est pas un dossier que l’on prépare une fois pour toutes avant de le ranger dans une armoire. Elle doit évoluer avec les pratiques réelles de l’entreprise.
La rentrée constitue donc un bon moment pour prendre du recul : vos documents correspondent-ils toujours à ce que vous faites réellement ? De nouveaux traitements ont-ils été mis en place ? Certains fichiers ou accès devraient-ils être supprimés ? Vos salariés savent-ils comment réagir en cas d’incident ?
Réaliser un audit RGPD dans une PME ne signifie pas nécessairement reprendre toute la mise en conformité. Ces dix vérifications permettent d’identifier les écarts apparus au fil des changements et de définir les actions prioritaires.
Pour aller plus loin dans l’analyse, vous pouvez également consulter notre guide : Contrôle CNIL : votre entreprise est-elle réellement prête ?
1. Recenser les changements intervenus dans l’entreprise
La première étape consiste à examiner ce qui a changé depuis votre dernière vérification RGPD.
Avez-vous recruté des salariés, adopté un nouveau logiciel, changé de prestataire, ajouté un formulaire sur votre site, lancé une newsletter ou installé un dispositif de vidéosurveillance, de badgeage ou de géolocalisation ?
L’utilisation d’outils d’intelligence artificielle mérite également une attention particulière. Leur simplicité d’accès peut conduire les équipes à y intégrer des données concernant des clients, des candidats ou des salariés sans réelle vérification préalable.
Le signal d’alerte
Un nouvel outil est déjà utilisé, mais personne ne sait précisément quelles données lui sont transmises, où elles sont hébergées ou combien de temps elles sont conservées.
L’action prioritaire
Dressez la liste des changements intervenus depuis le début de l’année. Pour chaque nouveauté, posez-vous quatre questions :
- Quelles données sont utilisées ?
- Dans quel objectif ?
- Qui peut y accéder ?
- Les personnes concernées en ont-elles été informées ?
2. Vérifier que le registre des traitements est à jour
Le registre des traitements constitue la cartographie des usages de données personnelles dans l’entreprise.
Il peut notamment couvrir la gestion des clients et prospects, la facturation, le recrutement, la paie, le suivi du temps de travail, la vidéosurveillance, la géolocalisation, le site internet ou les campagnes commerciales.
Avec le temps, le registre peut cependant décrire une entreprise qui n’existe plus tout à fait : ancien logiciel, prestataire remplacé, traitement abandonné ou nouvelle pratique absente du document.
La CNIL rappelle que le registre doit refléter la réalité des traitements et être actualisé à chaque évolution de leurs conditions de mise en œuvre. Elle propose également un modèle de registre adapté aux petites structures.
Le signal d’alerte
Le registre n’a pas été revu depuis plusieurs années ou personne ne pense à le consulter lors du lancement d’un nouveau projet.
L’action prioritaire
Comparez le registre avec les changements recensés à l’étape précédente. Ajoutez les nouveaux traitements, corrigez les informations devenues inexactes et retirez les traitements qui ne sont plus réalisés.
Pour chaque activité, vérifiez notamment la finalité, les données utilisées, les destinataires, les prestataires, les durées de conservation et les principales mesures de sécurité.
Vous pouvez aussi consulter notre page consacrée aux registres de traitement et à la documentation RGPD.
3. Contrôler les données réellement collectées
Les entreprises ont naturellement tendance à accumuler des informations. Des champs sont ajoutés dans les formulaires, des pièces justificatives sont conservées « au cas où » et plusieurs versions d’un même fichier circulent entre les services.
Le RGPD impose pourtant de ne collecter que les données nécessaires à l’objectif poursuivi. C’est le principe de minimisation.
Le signal d’alerte
Personne ne sait expliquer pourquoi une information est demandée, mais elle continue d’être collectée parce qu’elle figure depuis longtemps dans le formulaire ou le logiciel.
L’action prioritaire
Sélectionnez trois traitements courants, par exemple la prospection, le recrutement et la gestion des salariés. Classez les données collectées en trois catégories :
- indispensables ;
- utiles, mais facultatives ;
- inutiles ou disproportionnées.
Retirez les données inutiles des formulaires et présentez clairement les informations facultatives comme telles.
Moins l’entreprise collecte de données, moins elle doit en organiser l’accès, la conservation et la protection.
4. Revoir les durées de conservation
Définir des durées de conservation dans le registre ne suffit pas. Encore faut-il qu’elles soient réellement appliquées dans les logiciels, les dossiers partagés, les archives et les messageries.
Il convient de distinguer :
- la conservation en base active, lorsque les données restent utilisées au quotidien ;
- l’archivage intermédiaire, lorsqu’elles doivent encore être conservées pour respecter une obligation ou défendre les droits de l’entreprise ;
- la suppression ou l’anonymisation, lorsque leur conservation n’est plus justifiée.
Le signal d’alerte
Les logiciels contiennent encore l’ensemble des anciens contacts, candidats, salariés et clients, sans distinction entre les dossiers actifs et inactifs.
L’action prioritaire
Commencez par les données les plus nombreuses ou les plus sensibles : anciens CV, dossiers de salariés, prospects inactifs, comptes clients inutilisés ou pièces justificatives.
Vérifiez si une durée a été définie, si elle est justifiée et si une procédure de suppression ou d’archivage est effectivement appliquée.
5. Actualiser l’information délivrée aux personnes
Lorsqu’elle collecte des données personnelles, l’entreprise doit informer clairement les personnes concernées.
Cette information doit notamment expliquer qui utilise les données, dans quel objectif, sur quelle base juridique, pendant combien de temps, à qui elles sont transmises et comment exercer ses droits.
Elle ne se limite pas à la politique de confidentialité du site. Elle peut également devoir figurer sur les formulaires de contact, dossiers de candidature, questionnaires, contrats, dispositifs de vidéosurveillance ou outils de géolocalisation.
Le signal d’alerte
Les mentions ont été copiées depuis un modèle ancien ou un autre site, sans être adaptées aux pratiques de l’entreprise.
L’action prioritaire
Recensez les principaux points de collecte et vérifiez que les mentions correspondent aux traitements réellement réalisés.
Une information efficace n’est pas nécessairement longue. Elle doit surtout être exacte, accessible et compréhensible.
6. Vérifier la gestion des demandes d’exercice de droits
Clients, prospects, candidats et salariés disposent de droits sur leurs données. Ils peuvent notamment demander à y accéder, les faire rectifier, s’opposer à certains usages ou, lorsque les conditions sont réunies, en demander l’effacement.
L’entreprise doit savoir reconnaître ces demandes, même lorsqu’elles ne mentionnent pas expressément le RGPD.
Elle doit en principe répondre dans un délai d’un mois. Une prolongation de deux mois supplémentaires est possible en cas de demande complexe ou de demandes nombreuses, à condition d’en informer la personne dans le délai initial.
La CNIL présente les différents droits et leurs conditions d’exercice sur sa page consacrée aux droits des personnes sur leurs données.
Le signal d’alerte
Les demandes arrivent dans différentes messageries et leur traitement dépend uniquement de la vigilance du salarié qui les reçoit.
L’action prioritaire
Désignez la personne à laquelle les demandes doivent être transmises et mettez en place un tableau de suivi indiquant la date de réception, la nature de la demande, les actions réalisées et la date de réponse.
7. Revoir les prestataires et les contrats
Les PME confient généralement des données personnelles à différents prestataires : paie, hébergement, CRM, sauvegarde, emailing, recrutement, maintenance ou stockage en ligne.
Lorsque ces prestataires traitent des données pour le compte de l’entreprise, celle-ci doit vérifier qu’ils apportent des garanties suffisantes.
Le contrat doit notamment encadrer la confidentialité, la sécurité, le recours à d’autres sous-traitants, la gestion des incidents et la restitution ou la suppression des données en fin de prestation.
Le signal d’alerte
Le prestataire affirme être « conforme au RGPD », mais l’entreprise ne sait pas où les données sont hébergées, qui peut y accéder ni ce qu’elles deviendront à la fin du contrat.
L’action prioritaire
Établissez la liste des prestataires ayant accès à des données personnelles et commencez par ceux qui traitent des données sensibles, des informations RH ou un volume important de données.
Vérifiez leurs contrats, leurs engagements de sécurité et les éventuels transferts de données hors de l’Espace économique européen.
8. Faire le ménage dans les accès et renforcer la sécurité
Après plusieurs recrutements, départs ou changements de poste, les droits d’accès ne correspondent plus toujours aux besoins réels.
Chaque salarié devrait disposer d’un compte personnel et accéder uniquement aux informations nécessaires à ses missions.
Le signal d’alerte
Plusieurs salariés utilisent le même identifiant, un ancien collaborateur dispose encore d’un accès ou les fichiers RH sont enregistrés dans un dossier accessible à tous.
D’autres points méritent votre attention : mots de passe partagés, droits administrateur trop larges, absence d’authentification à plusieurs facteurs ou sauvegardes jamais testées.
L’action prioritaire
Pour chaque outil important, vérifiez qui dispose d’un accès, son niveau d’autorisation et la justification de cet accès.
Supprimez les comptes inutilisés et prévoyez une procédure systématique lors de l’arrivée, du changement de poste et du départ d’un salarié.
9. Vérifier la procédure en cas de violation de données
Une violation de données ne résulte pas toujours d’une cyberattaque. Elle peut provenir d’un courriel envoyé au mauvais destinataire, d’un fichier mal partagé, d’un équipement perdu, d’un compte piraté ou de la suppression accidentelle de données.
Toutes les violations doivent être documentées.
Lorsqu’un incident est susceptible de présenter un risque pour les droits et libertés des personnes, il doit être notifié à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après que l’entreprise en a pris connaissance.
Si le risque est élevé, les personnes concernées peuvent également devoir être informées.
La CNIL précise les situations concernées et les informations à réunir dans sa fiche consacrée à la notification d’une violation de données.
Le signal d’alerte
Un salarié constate un incident, mais ne sait pas à qui le signaler. Plusieurs jours peuvent alors s’écouler avant que la situation ne soit analysée.
L’action prioritaire
Préparez une procédure précisant :
- les incidents à signaler ;
- la personne à prévenir ;
- les informations à recueillir ;
- les mesures d’urgence ;
- les modalités d’évaluation et de documentation.
10. Contrôler le site internet et les actions de prospection
Un site évolue régulièrement : nouveau formulaire, module de réservation, outil statistique, pixel publicitaire ou inscription à une newsletter.
Ces modifications peuvent entraîner la collecte de nouvelles données sans que les mentions d’information ou le bandeau cookies aient été actualisés.
Le signal d’alerte
Le bandeau cookies n’a jamais été vérifié depuis sa mise en place, des traceurs sont déposés avant le consentement ou il est plus facile d’accepter que de refuser.
La CNIL rappelle que refuser les cookies doit être aussi simple que les accepter.
Pour la prospection, d’autres questions se posent : quelle est l’origine des coordonnées ? Les personnes ont-elles été informées ? Peuvent-elles s’opposer simplement aux sollicitations ? Les désinscriptions sont-elles réellement prises en compte ?
L’action prioritaire
Testez le parcours complet d’un visiteur : arrivée sur le site, choix relatif aux cookies, remplissage d’un formulaire, inscription à la newsletter et désinscription.
Contrôlez ensuite une campagne récente : origine du fichier, justification de son utilisation, information des destinataires et traitement des oppositions.
Pour approfondir ces sujets, consultez :
- notre page sur le RGPD applicable aux sites internet, formulaires et cookies ;
- notre article sur les nouvelles règles du démarchage téléphonique ;
- la fiche de la CNIL sur la prospection commerciale par courrier électronique et SMS.
Après l’audit : comment définir les priorités ?
Vous n’avez pas nécessairement besoin de tout corriger immédiatement. Classez les écarts constatés en trois niveaux.
E
Priorité 1 : agir immédiatement
Une intervention rapide est nécessaire en présence :
- d’un incident de sécurité ;
- de comptes d’anciens salariés toujours actifs ;
- de données sensibles accessibles sans restriction ;
- d’une collecte manifestement excessive ;
- de traceurs déposés sans consentement ;
- d’un prestataire présentant des garanties insuffisantes.
Priorité 2 : corriger à court terme
Cette catégorie peut concerner un registre incomplet, des mentions obsolètes, des durées de conservation non appliquées, des contrats à compléter ou des droits d’accès trop larges.
Priorité 3 : structurer la démarche
Certaines actions permettent d’inscrire la conformité dans la durée :
- désigner une personne chargée du suivi ;
- programmer une révision annuelle ;
- intégrer le RGPD aux nouveaux projets ;
- sensibiliser régulièrement les salariés ;
- documenter les décisions et les actions réalisées.
La conformité RGPD est une démarche continue
Les principaux écarts ne résultent pas toujours d’une absence totale de démarche. Ils apparaissent progressivement : un nouveau logiciel est adopté, un prestataire change, un fichier est conservé trop longtemps ou une procédure n’est plus connue des équipes.
L’audit de rentrée permet de comparer les documents avec les pratiques réelles et de retrouver une vision claire de la situation.
Le regard FD Conseil
Un audit utile ne commence pas par les documents, mais par une question simple : « Qu’est-ce qui a changé dans l’entreprise depuis notre dernière vérification ? » Les documents pourront ensuite être actualisés à partir des pratiques constatées.
Si votre entreprise a déjà engagé une démarche, mais que ses outils ou ses pratiques évoluent régulièrement, découvrez également notre service d’accompagnement RGPD dans la durée.
Questions fréquentes sur l’audit RGPD d’une PME
Une PME doit-elle réaliser un audit RGPD tous les ans ?
Le RGPD n’impose pas formellement un audit annuel à toutes les entreprises. En revanche, la conformité doit être suivie et actualisée.
Prévoir une vérification annuelle constitue donc une bonne pratique, complétée par une mise à jour lors de chaque changement important : nouveau logiciel, nouveau prestataire, recrutement, dispositif de surveillance, campagne commerciale ou incident de sécurité.
Qui peut réaliser l’audit RGPD dans l’entreprise ?
La vérification peut être pilotée par le dirigeant, le responsable administratif, le responsable RH, le DPO lorsqu’un délégué a été désigné ou un intervenant extérieur.
L’important est d’associer les personnes qui connaissent les pratiques réelles de l’entreprise. Le RGPD ne peut pas être contrôlé uniquement à partir des documents.
Quels documents faut-il réunir avant de commencer ?
Il est utile de rassembler :
- le registre des traitements ;
- les politiques et mentions d’information ;
- les contrats conclus avec les prestataires ;
- les procédures relatives aux droits et aux incidents ;
- la liste des logiciels et outils utilisés ;
- les règles de conservation et de suppression ;
- les documents de sensibilisation des salariés.
L’absence de certains documents ne doit pas empêcher de commencer : elle constitue déjà un point à intégrer au plan d’action.
Quelle est la différence entre cette vérification et un audit RGPD complet ?
Ces dix points permettent d’effectuer un premier état des lieux et de repérer les écarts les plus visibles.
Un audit complet va plus loin : il examine chaque traitement, les bases juridiques, les contrats, les mesures de sécurité, les transferts internationaux, les risques et les preuves permettant de démontrer la conformité.
Besoin de faire le point sur votre conformité RGPD ?
Vous avez identifié plusieurs écarts, mais vous ne savez pas quelles actions traiter en premier ?
FD Conseil accompagne les PME de Loire-Atlantique dans l’évaluation de leurs pratiques, la mise à jour de leur documentation et la construction d’un plan d’action adapté à leur activité.
Un premier échange permet souvent de vérifier rapidement les points prioritaires et de déterminer les mesures réellement nécessaires, sans alourdir inutilement votre organisation.
Découvrir l’audit RGPD proposé par FD Conseil
