Salariés, candidats, clients, messagerie, paie, CRM, vidéosurveillance, géolocalisation… une PME traite quotidiennement de nombreuses données personnelles, parfois sans en avoir pleinement conscience.

Que faut-il réellement avoir mis en place ? Quels documents et quelles preuves faut-il pouvoir retrouver ? Et surtout, par où commencer si votre entreprise a encore peu structuré sa démarche RGPD ?

Ce guide vous aide à faire le point, identifier vos priorités et engager les premières actions concrètes.

Réponse immédiate

Oui, une PME peut faire l’objet d’un contrôle de la CNIL.

Un contrôle peut notamment être réalisé sur pièces, sur place, en ligne ou dans le cadre d’une audition.

La CNIL ne vérifie pas uniquement si vous possédez des documents RGPD. Votre entreprise doit aussi pouvoir expliquer quelles données personnelles elle utilise, pourquoi, qui y accède, combien de temps elles sont conservées, comment elles sont protégées et quelles mesures sont réellement mises en œuvre.

Vous recevez un courrier de la CNIL…

Imaginez.

Un courrier de la CNIL arrive dans votre entreprise.

Première réaction :

« Le RGPD ? Normalement, notre prestataire informatique s’en occupe. »

Vous l’appelez.

Les sauvegardes fonctionnent. Les ordinateurs sont protégés. L’antivirus est à jour. Votre site possède une bannière cookies.

Plutôt rassurant.

Puis viennent d’autres questions :

• Quels traitements de données réalisez-vous ?
• Disposez-vous d’un registre des traitements ?
• Combien de temps conservez-vous les données de vos candidats, salariés ou clients ?
• Comment les personnes sont-elles informées ?
• Qui peut accéder aux différentes données ?
• Que se passe-t-il lorsqu’une personne demande l’accès à ses données ?
• Et si un fichier contenant des données personnelles est envoyé au mauvais destinataire ?

Là, les réponses deviennent parfois moins évidentes.

Et c’est souvent à ce moment qu’apparaît une confusion importante :

Sécuriser son informatique ne signifie pas, à lui seul, être conforme au RGPD.

La sécurité est essentielle. Mais le RGPD concerne aussi les raisons pour lesquelles vous utilisez des données, les personnes qui y accèdent, leur durée de conservation, l’information des personnes, les prestataires auxquels vous les confiez et votre capacité à démontrer ce que vous faites.

Et si certains de ces termes vous sont encore inconnus, c’est justement l’objet de ce guide.

1. Le RGPD concerne-t-il vraiment votre entreprise ?

Une question revient régulièrement lorsque je rencontre un dirigeant :

« Mais nous sommes une petite entreprise. Est-ce que nous sommes vraiment concernés ? »

Dans la très grande majorité des entreprises, il suffit de regarder quelques minutes le fonctionnement quotidien pour trouver la réponse.

Vous avez des salariés ? Vous détenez des informations les concernant.

Vous recevez des CV ? Vous traitez les données de candidats.

Vous établissez des devis et des factures ? Vous utilisez les coordonnées de vos clients ou de leurs interlocuteurs.

Vous utilisez Outlook, Microsoft 365, Google Workspace, un CRM ou un logiciel métier ? Ces outils contiennent très probablement des informations permettant d’identifier des personnes.

Le RGPD n’est donc pas uniquement une affaire de cookies ou de commerce en ligne.

Il est déjà présent dans le fonctionnement quotidien de l’entreprise.

Quelques exemples très concrets

Une PME peut traiter des données personnelles lorsqu’elle :

• gère la paie de ses salariés ;
• conserve des CV ;
• utilise une messagerie professionnelle ;
• tient un fichier clients ou prospects ;
• organise des formations ;
• utilise une badgeuse ;
• installe des caméras ;
• géolocalise certains véhicules ;
• confie des données à son cabinet comptable ou à son prestataire informatique.

Et il n’est pas nécessaire qu’une information concerne la vie privée d’une personne pour qu’elle soit une donnée personnelle.

Une adresse professionnelle telle que prenom.nom@entreprise.fr peut parfaitement être une donnée personnelle.

À retenir

Une donnée professionnelle peut aussi être une donnée personnelle.

✍️ Faites le test

Pouvez-vous citer cinq outils utilisés dans votre entreprise qui contiennent des informations concernant des personnes ?

Paie, messagerie, CRM, logiciel métier, dossiers RH…

Si vous en trouvez cinq facilement, vous venez déjà de constater très concrètement pourquoi votre entreprise est concernée par le RGPD.

2. Quatre notions pour commencer à comprendre le RGPD

Une donnée personnelle

C’est une information concernant une personne identifiée ou identifiable.

Nom, prénom, adresse et numéro de téléphone, bien sûr.

Mais également, selon les situations :

• adresse e-mail professionnelle ;
• CV ;
• photographie ;
• identifiant informatique ;
• données de localisation ;
• évaluation professionnelle.

Le champ est donc beaucoup plus large qu’on ne l’imagine parfois.

Un traitement

Le terme paraît technique.

La réalité l’est beaucoup moins.

Vous collectez des données, les enregistrez, les consultez, les transmettez, les conservez ou les supprimez : vous réalisez des opérations de traitement.

Prenons la paie : vous collectez des informations sur le salarié, les utilisez pour établir sa rémunération, les transmettez éventuellement à un prestataire et conservez certains éléments.

Une finalité

La question est simplement :

Pourquoi utilisez-vous ces données ?

Vous utilisez certaines informations sur un salarié pour établir sa paie.

Vous collectez les coordonnées d’un client pour gérer sa commande.

Cette raison d’utiliser les données constitue la finalité.

Et la question :

« Pourquoi avons-nous besoin de cette information ? »

est l’une des plus utiles de toute démarche RGPD.

Le registre des traitements

Voyez-le comme la cartographie organisée des principales utilisations de données personnelles dans votre entreprise.

Il permet notamment de comprendre :

• pourquoi les données sont utilisées ;
• quelles catégories de données sont concernées ;
• quelles personnes sont concernées ;
• qui peut y accéder ou les recevoir ;
• combien de temps elles sont conservées ;
• comment elles sont protégées.

Il ne doit donc pas être vu uniquement comme un document à produire « pour la CNIL ».

Bien construit, il permet d’abord de comprendre son propre fonctionnement.

[LIEN INTERNE À PRÉVOIR : Registre des traitements RGPD : comment le construire dans une PME ?]

Et votre prestataire informatique ?

Il peut sécuriser vos postes, gérer les sauvegardes ou administrer vos comptes.

Mais peut-il répondre à votre place à ces questions ?

Pourquoi conservez-vous les CV ?

Pendant combien de temps ?

Comment informez-vous les salariés ?

Pourquoi certains véhicules sont-ils géolocalisés ?

Qui traite une demande d’accès ?

Votre prestataire informatique est un acteur important de votre conformité.

Il n’est pas, à lui seul, votre démarche RGPD.

3. Vous partez presque de zéro ? Observez d’abord votre entreprise

Inutile de commencer par télécharger vingt modèles.

Regardez d’abord ce qui existe réellement.

Où sont les données ?

Commencez par vos principaux outils :

• paie et RH ;
• messagerie ;
• CRM ;
• facturation ;
• logiciels métier ;
• cloud et dossiers partagés ;
• candidatures ;
• sauvegardes ;
• téléphones professionnels.

Ajoutez, s’ils existent :

• vidéosurveillance ;
• badgeuse ;
• géolocalisation.

Ne cherchez pas encore à déterminer si tout est conforme.

Faites l’inventaire.

Qui peut y accéder ?

Prenez un logiciel important et demandez-vous :

Qui possède actuellement un accès ?

Puis :

Qui a réellement besoin de cet accès ?

Cette vérification peut permettre de retrouver un ancien compte, un collaborateur ayant changé de fonction ou un prestataire dont l’accès n’est plus nécessaire.

Quels prestataires interviennent ?

Listez les principaux :

cabinet de paie, prestataire informatique, hébergeur, éditeur de logiciel, CRM, plateforme de recrutement, sauvegarde, signature électronique…

Pour chacun, notez simplement :

ce qu’il fait et les données auxquelles il peut avoir accès.

Vos collaborateurs sauraient-ils réagir ?

Posez quelques questions :

Un client demande l’accès à ses données : à qui transmettez-vous sa demande ?

Vous envoyez un fichier au mauvais destinataire : qui prévenez-vous ?

Vous recevez un CV : où doit-il être enregistré ?

Vous utilisez une IA pour résumer un document client : quelles précautions prenez-vous ?

Les réponses sont souvent très instructives.

✍️ À faire cette semaine

Commencez avec vos cinq outils principaux :

Vous disposez déjà d’une première cartographie.

4. En cas de contrôle CNIL, que faut-il surtout pouvoir démontrer ?

Il serait tentant de répondre :

« Avoir les bons documents. »

Ce n’est qu’une partie de la réponse.

Il faut surtout pouvoir montrer que votre entreprise maîtrise les données personnelles qu’elle utilise et les mesures qu’elle met en œuvre.

Savez-vous ce que vous faites des données ?

Quels sont vos principaux traitements ?

Pourquoi existent-ils ?

Qui y accède ?

Combien de temps les données sont-elles conservées ?

Les personnes sont-elles informées ?

Salariés, candidats, clients, prospects…

L’information doit correspondre aux pratiques réelles de l’entreprise.

Les données sont-elles suffisamment protégées ?

Sauvegardes, authentification, habilitations, mises à jour, accès des prestataires…

La sécurité ne se résume pas à l’antivirus.

Pouvez-vous démontrer ce que vous affirmez ?

Vous dites :

« Nous sensibilisons nos salariés. »

Avez-vous une trace des actions réalisées ?

Vous dites :

« Les accès sont supprimés lorsqu’un salarié part. »

Comment cette suppression est-elle organisée ?

Vous dites :

« Nous supprimons les anciennes données. »

Comment et à quelle fréquence ?

À retenir

Le document n’est pas la conformité. Il en est l’une des preuves.

5. Les 7 fondations RGPD à mettre en place dans votre entreprise

1 — Cartographier vos traitements

Si vous partez de zéro, commencez par les activités les plus évidentes :

• personnel ;
• paie ;
• recrutement ;
• clients ;
• prospects ;
• facturation ;
• fournisseurs ;
• site Internet.

Pour chacune :

Pourquoi utilisons-nous ces données ? Quelles données ? Qui y accède ? Quels prestataires interviennent ? Combien de temps les conservons-nous ?

Construisez progressivement un registre correspondant à la réalité de votre entreprise, pas uniquement un modèle correctement rempli.

2 — Informer les personnes

Pensez aux :

• salariés ;
• candidats ;
• clients ;
• prospects ;
• autres personnes concernées par votre activité.

Ne vérifiez pas seulement si une politique ou une notice existe.

Demandez-vous :

« Correspond-elle encore à ce que nous faisons aujourd’hui ? »

3 — Définir et appliquer les durées de conservation

Écrire « conservation : trois ans » dans un document ne suffit pas si personne ne supprime ou n’archive ensuite les données concernées.

Posez toujours deux questions :

Combien de temps devons-nous ou pouvons-nous conserver cette donnée ?

Puis :

Comment cette durée est-elle réellement appliquée ?

✍️ Faites le test

Regardez votre dossier de candidatures ou votre CRM.

Trouvez la donnée la plus ancienne.

Puis demandez-vous :

« Pourquoi la conservons-nous encore ? »

Si personne ne sait répondre, vous venez d’identifier un sujet à examiner.

4 — Identifier et encadrer les prestataires

Commencez par identifier les prestataires susceptibles d’accéder à des données personnelles.

Puis retrouvez les contrats et les éléments relatifs à la protection des données.

La première question n’est pas de savoir analyser seul cinquante pages de clauses :

Savons-nous à qui nous confions nos données et pouvons-nous retrouver les documents correspondants ?

🔎 Focus RH : suivez le parcours du salarié

Les ressources humaines concentrent souvent de nombreuses données personnelles.

Suivez simplement une personne :

candidat → recrutement → salarié → départ de l’entreprise.

À chaque étape :

• quelles informations sont collectées ?
• où sont-elles stockées ?
• qui y accède ?
• qui les reçoit ?
• combien de temps sont-elles conservées ?

Cette méthode permet souvent de faire apparaître rapidement les principaux traitements RH.

[LIEN INTERNE À PRÉVOIR : Données RH et RGPD : ce que l’employeur doit prévoir]

5 — Organiser les droits et les incidents

Un ancien salarié demande l’accès à ses données.

Qui traite sa demande ?

Un collaborateur envoie un fichier au mauvais client.

Qui doit-il prévenir ?

Vous n’avez pas forcément besoin d’une procédure de vingt pages.

Vous avez besoin d’une organisation qui fonctionne.

[LIEN INTERNE À PRÉVOIR : Violation de données personnelles : que faire dans les premières heures ?]

6 — Sécuriser les données et maîtriser les accès

Avec votre prestataire informatique, posez des questions concrètes :

• Où sont nos sauvegardes ?
• À quelle fréquence sont-elles réalisées ?
• Une restauration a-t-elle déjà été testée ?
• Qui possède des droits administrateur ?
• Comment les comptes sont-ils supprimés lors des départs ?
• L’authentification multifacteur est-elle utilisée lorsqu’elle est pertinente ?

🔎 Focus géolocalisation : vos véhicules sont-ils concernés ?

Si la localisation d’un véhicule permet de suivre les déplacements d’un salarié, commencez par vous demander :

Pourquoi avons-nous installé ce dispositif ?

Puis vérifiez notamment :

• qui peut consulter les données ;
• combien de temps elles sont conservées ;
• comment les salariés sont informés ;
• dans quelles conditions le dispositif fonctionne.

Le fait que le véhicule appartienne à l’entreprise ne signifie pas que les déplacements d’un salarié peuvent être suivis sans limite.

[LIEN INTERNE À PRÉVOIR : Géolocalisation des véhicules des salariés : quelles règles RGPD ?]

7 — Sensibiliser les collaborateurs

Vos salariés n’ont pas besoin de devenir experts du RGPD.

Ils doivent connaître les bons réflexes liés à leur activité et savoir qui contacter en cas de doute ou d’incident.

Pensez également aux nouveaux arrivants.

Et conservez une trace des actions de sensibilisation réalisées.

[LIEN INTERNE À PRÉVOIR : Sensibilisation RGPD des salariés : quoi faire et comment le prouver ?]

🔎 Focus IA : connaissez-vous les usages réels ?

Avant de rédiger une charte de quinze pages, commencez par poser cette question :

« Utilisez-vous ChatGPT, Copilot, Gemini ou une autre IA dans votre travail ? Pour quoi faire ? »

Identifiez :

• les outils réellement utilisés ;
• les usages ;
• les personnes concernées ;
• et surtout les données qui y sont introduites.

L’objectif n’est pas, dans un premier temps, d’interdire.

Il est de connaître les pratiques pour pouvoir les encadrer.

[LIEN INTERNE À PRÉVOIR : RGPD et intelligence artificielle : quelles règles pour ChatGPT, Copilot et Gemini ?]

Les 7 fondations en un coup d’œil

6. Vous recevez un courrier de la CNIL : que faites-vous concrètement ?

Première étape : comprendre

Identifiez :

• l’objet du contrôle ;
• les questions posées ;
• les documents ou informations demandés ;
• le délai ;
• les modalités de réponse.

La CNIL peut notamment effectuer des vérifications sur pièces, sur place, en ligne ou dans le cadre d’une audition.

Ne commencez pas par envoyer tout ce que vous trouvez.

Dans les premières heures : centraliser

Désignez une personne chargée de coordonner la réponse et de solliciter les bons interlocuteurs :

• direction ;
• RH ;
• informatique ;
• DPO ou référent lorsqu’il existe ;
• responsables opérationnels ;
• prestataires ;
• conseil extérieur si nécessaire.

✍️ Créez un tableau de suivi

Vérifiez avant de transmettre

Votre registre date de trois ans ?

Votre politique de confidentialité correspond-elle encore au site ?

Vos sauvegardes fonctionnent-elles réellement comme vous le pensez ?

La logique est :

Comprendre → retrouver → vérifier → répondre.

Et s’il manque quelque chose ?

Évitez deux réactions :

❌ Ignorer le problème.

❌ Fabriquer dans l’urgence un document en essayant de donner l’impression qu’il existait auparavant.

Identifiez l’écart, déterminez ce qui peut être corrigé et organisez une réponse cohérente.

Si le sujet est complexe ou le délai court, solliciter une expertise peut devenir nécessaire.

Si le contrôle se déroule sur place

Votre accueil doit savoir qui prévenir immédiatement.

Et vos collaborateurs doivent retenir une règle simple :

Ne répondez pas à une question que vous ne maîtrisez pas. Orientez vers l’interlocuteur compétent.

Pendant tout le contrôle : gardez une trace

Conservez :

• les demandes ;
• les dates ;
• les réponses ;
• les versions exactes des documents transmis ;
• les personnes sollicitées ;
• les éventuelles actions correctives engagées.

Les 5 erreurs à éviter

1. Envoyer immédiatement tout son dossier RGPD.
2. Laisser plusieurs personnes répondre sans coordination.
3. Considérer que l’informatique répondra à toutes les questions.
4. Présenter des modèles ne correspondant pas aux pratiques.
5. Ne conserver aucune trace des échanges.

7. Après le contrôle : que peut réellement décider la CNIL ?

Un contrôle ne signifie pas automatiquement une amende.

Selon les constats et les circonstances, différentes suites sont possibles.

Le dossier peut être clôturé

Les contrôles dont on entend le plus parler sont naturellement ceux donnant lieu aux sanctions les plus importantes.

Ils ne représentent pas toutes les issues possibles.

Des corrections peuvent être demandées

La CNIL dispose de différents outils lui permettant de demander à un organisme de corriger des manquements.

Une mise en demeure n’est pas, en elle-même, une sanction.

Pour l’entreprise, l’enjeu devient alors de :

• comprendre les corrections demandées ;
• les mettre en œuvre ;
• respecter les délais ;
• conserver les preuves.

Une procédure de sanction peut être engagée

Selon le cadre applicable, différentes mesures peuvent être prononcées, notamment une injonction de mise en conformité, une limitation de certains traitements ou une amende administrative.

Les fameux 20 millions d’euros ou 4 % du chiffre d’affaires mondial correspondent à des plafonds prévus pour certaines violations du RGPD.

Ils ne constituent pas une sanction automatique.

Pour une PME, la question la plus utile reste :

« Quels sont nos principaux manquements et lesquels devons-nous traiter en priorité ? »

🔎 À savoir : la procédure de sanction simplifiée

Pour certaines affaires ne présentant pas de difficulté particulière, la CNIL peut recourir à une procédure de sanction simplifiée.

Dans le cas général, celle-ci peut notamment conduire à un rappel à l’ordre, une injonction de mise en conformité ou une amende pouvant atteindre 20 000 €.

Les décisions prises dans ce cadre ne sont pas rendues publiques.

Depuis 2026, des plafonds spécifiques plus élevés sont prévus pour certains organismes dépassant 50 millions d’euros de chiffre d’affaires annuel mondial.

Pour la majorité des PME auxquelles s’adresse ce guide, retenez surtout qu’il existe une procédure simplifiée distincte de la procédure ordinaire.

Si des écarts sont identifiés : construisez un plan d’action

Ne demandez pas seulement :

« Est-ce terminé ? »

Ajoutez :

« Comment pouvons-nous démontrer que cela a été fait ? »

8. Votre entreprise est-elle prête pour un contrôle CNIL ? Faites le test

Pour chaque question :

🟢 Oui — c’est organisé et nous pouvons le démontrer.
🟠 En partie — quelque chose existe mais doit être vérifié.
🔴 Non / Je ne sais pas — le sujet doit être examiné.

Connaître vos données

1. Avez-vous identifié vos principales utilisations de données personnelles ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

2. Disposez-vous d’un registre correspondant à vos pratiques actuelles ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

3. Savez-vous quels logiciels contiennent des données personnelles ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

Informer

4. Vos salariés sont-ils informés de l’utilisation de leurs données ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

5. Vos candidats le sont-ils ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

6. Les informations présentes sur votre site correspondent-elles aux pratiques actuelles ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

Conservation et accès

7. Avez-vous défini vos principales durées de conservation ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

8. Sont-elles réellement appliquées ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

9. Savez-vous qui accède actuellement à vos principaux outils ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

10. Les accès sont-ils revus lors des changements de fonction et départs ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

Prestataires

11. Avez-vous identifié vos principaux prestataires traitant des données ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

12. Pouvez-vous retrouver les contrats et éléments RGPD correspondants ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

Droits et incidents

13. Savez-vous qui traite une demande d’exercice des droits ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

14. Vos collaborateurs savent-ils à qui la transmettre ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

15. Savez-vous comment réagir en cas de violation de données ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

16. Vos collaborateurs savent-ils qui prévenir ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

Sécurité et sensibilisation

17. Pouvez-vous expliquer vos principales mesures de sécurité ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

18. Vos collaborateurs ont-ils été récemment sensibilisés ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

Usages particuliers

19. Si vous utilisez vidéosurveillance, badgeuse ou géolocalisation, leur utilisation a-t-elle été vérifiée ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas ⚪ Non concerné

20. Savez-vous quels outils d’IA sont utilisés et quelles données y sont introduites ?
🟢 Oui 🟠 En partie 🔴 Non / Je ne sais pas

Ne calculez pas un « score RGPD »

Toutes les questions n’ont pas le même niveau de risque.

Regardez plutôt où se trouvent vos rouges et vos oranges.

Puis transformez-les en actions.

Aujourd’hui — Comprendre

Identifiez :

• vos cinq principaux outils ;
• les principales personnes concernées ;
• votre interlocuteur RGPD ;
• vos trois zones rouges prioritaires.

Cette semaine — Retrouver

Rassemblez :

• registre ;
• informations salariés et candidats ;
• politique de confidentialité ;
• contrats ;
• éventuelles procédures ;
• documents relatifs aux dispositifs particuliers ;
• preuves de sensibilisation.

Classez-les :

🟢 à jour — 🟠 à vérifier — 🔴 absent ou introuvable.

Dans le mois — Structurer

Travaillez en priorité, selon les écarts constatés, sur :

• le registre ;
• l’information ;
• les prestataires ;
• la conservation ;
• les accès ;
• la gestion des demandes et incidents.

Dans les trois mois — Organiser

• sensibilisez les équipes ;
• examinez les traitements particuliers ou sensibles ;
• clarifiez les usages de l’IA ;
• vérifiez les dispositifs de suivi lorsqu’ils existent ;
• prévoyez une revue périodique.

Votre tableau d’action

Choisissez ensuite une seule action que vous pouvez réellement commencer cette semaine.

FAQ — Contrôle CNIL et RGPD

Une PME peut-elle être contrôlée par la CNIL ?

Oui. Le contrôle n’est pas réservé aux grandes entreprises. Dès lors qu’une entreprise traite des données personnelles, elle est concernée par le RGPD.

Les mesures à mettre en œuvre doivent toutefois être adaptées aux traitements réalisés et aux risques qu’ils présentent.

Une PME doit-elle obligatoirement avoir un DPO ?

Non. La désignation d’un délégué à la protection des données n’est obligatoire que dans certaines situations.

Mais même sans DPO, l’entreprise doit savoir qui coordonne concrètement les sujets relatifs aux données personnelles.

Le registre des traitements est-il obligatoire ?

Le RGPD prévoit la tenue d’un registre avec certaines règles particulières pour les organisations employant moins de 250 personnes.

Attention :

Moins de 250 salariés ne signifie pas automatiquement absence d’obligation de registre.

Au-delà de cette obligation juridique, le registre constitue surtout un outil particulièrement utile pour cartographier les traitements de l’entreprise.

Mon prestataire informatique s’occupe de la sécurité : est-ce suffisant ?

Non.

Il peut sécuriser les systèmes mais ne détermine pas nécessairement pourquoi vous collectez certaines données, combien de temps vous les conservez ou comment vous informez les personnes.

Sécurité informatique et conformité RGPD sont complémentaires, mais ne se confondent pas.

Peut-on géolocaliser les véhicules des salariés ?

La géolocalisation n’est pas interdite par principe, mais le dispositif doit avoir une finalité déterminée et son utilisation doit être encadrée.

Il faut notamment vérifier sa justification, les accès aux données, leur conservation et l’information des salariés.

Que faire en cas de violation de données ?

Signalez rapidement l’incident à l’interlocuteur identifié dans l’entreprise.

Il faudra ensuite examiner ce qui s’est passé, les données et personnes concernées, les mesures immédiates à prendre et les éventuelles démarches nécessaires.

Peut-on utiliser une IA avec des données professionnelles ?

Tout dépend notamment des données transmises à l’outil et des conditions dans lesquelles il est utilisé.

Commencez par identifier quels outils sont utilisés, pour quelles tâches et avec quelles données.

Ce sujet fera l’objet d’un guide FD Conseil dédié.

Que risque réellement une PME en cas de contrôle CNIL ?

Un contrôle ne débouche pas automatiquement sur une amende.

Clôture du dossier, mesures correctrices, mise en demeure ou sanction sont différentes issues possibles selon la situation.

La première question à se poser reste :

Quels sont nos principaux écarts et comment les corriger ?

Conclusion — Et si la CNIL vous contactait demain ?

Revenons au point de départ.

Un courrier de la CNIL arrive.

Mais cette fois, vous savez quelles sont vos principales utilisations de données personnelles.

Tout d’abord, vous pouvez retrouver vos documents.

Vous connaissez vos principaux prestataires.

Vous savez comment sont gérés les accès.

Vos collaborateurs savent à qui signaler un incident.

Et lorsque vous affirmez qu’une mesure existe, vous pouvez retrouver les éléments permettant de le démontrer.

Tout n’est peut-être pas parfait.

Mais votre entreprise sait où elle en est.

Et c’est une différence considérable.

Le meilleur moment pour regarder votre conformité n’est pas le jour du contrôle

Commencez par quelques questions :

Quelles données utilisons-nous ?
Pourquoi ?
Où sont-elles ?
Qui y accède ?
Combien de temps les conservons-nous ?
Comment les protégeons-nous ?
Et pouvons-nous démontrer ce que nous faisons ?

Vous n’avez pas besoin de tout résoudre en une semaine.

Commencez par les trois priorités révélées par l’autodiagnostic.

Puis avancez progressivement.

Et si nous faisions simplement le point ?

Vous avez identifié plusieurs zones rouges ou orange et vous ne savez pas par laquelle commencer ?

FD Conseil peut vous aider à faire le point sur ce qui existe déjà, déterminer vos priorités et identifier les premières actions à engager.

Lorsque la situation nécessite une analyse juridique approfondie, nos juristes experts en protection des données peuvent ensuite examiner les pratiques concernées et accompagner leur mise en conformité.

L’objectif n’est pas de vous remettre une pile de modèles.

C’est d’abord de répondre à une question :

Où en est réellement votre entreprise et quelles sont ses priorités ?

[

Pour échanger avec nous et faire un point sur vos priorités, prenez rendez vous