Quand un dirigeant de TPE me dit « je sais que je dois me mettre en règle avec le RGPD, mais je ne sais pas par où commencer », il a déjà fait le plus dur : s’en occuper. Le sujet paraît immense parce qu’on le découvre par les textes. Je préfère le prendre par l’organisation et l’informatique, et le découper en cinq étapes, à la portée d’une petite structure du Calvados ou d’ailleurs en Normandie.

Étape 1. Faire l’état des lieux

On ne met pas en conformité ce qu’on n’a pas regardé. Le premier travail consiste à lister, sans jugement, ce qui existe : quels outils contiennent des données sur des personnes (logiciel de facturation, agenda, messagerie, site internet, paie, caméras), qui y a accès, et chez quels prestataires ces données se trouvent. Un premier entretien permet généralement d’y voir plus clair. C’est le rôle du diagnostic de conformité : dire honnêtement ce qui est en règle, ce qui ne l’est pas, et par quoi commencer.

Étape 2. Cartographier les traitements et tenir le registre

Chaque usage de données personnelles ayant un but précis (gérer la paie, facturer, prospecter, gérer les rendez-vous) est un « traitement ». L’article 30 du règlement demande de les consigner dans un registre. Pour la CNIL, c’est le document de base qui permet de se connaître et de démontrer sa conformité. Pour une petite structure, un tableau bien tenu suffit : finalité, catégories de données, personnes concernées, destinataires, durée de conservation, mesures de sécurité. Le registre des traitements se construit avec vous, à partir de ce que vous faites réellement.

Étape 3. Mettre en règle l’essentiel

Avec le registre sous les yeux, les chantiers se hiérarchisent naturellement :

Informer les personnes : politique de confidentialité sur le site, mentions sur les formulaires et sur les devis.
Encadrer les prestataires : un contrat qui respecte l’article 28 avec chaque sous-traitant (hébergeur, comptable, éditeur de logiciel).
Régler les cookies du site et le recueil du consentement.
Prévoir la réponse aux demandes des personnes (accès, rectification, suppression), avec un délai d’un mois en principe.
Sécuriser : mots de passe, mises à jour, sauvegardes testées, accès retirés aux anciens salariés. La sécurité informatique fait partie du RGPD, et c’est un domaine où un prestataire informatique est utile.

Étape 4. Préparer le jour où ça se passe mal

Un ordinateur volé, un courriel envoyé à la mauvaise personne, un rançongiciel : une violation de données peut arriver à n’importe qui. Si elle présente un risque pour les personnes, elle doit être notifiée à la CNIL dans un délai de 72 heures à partir du moment où l’on en a connaissance (article 33). Une procédure écrite, prête avant l’incident, évite de découvrir ses obligations dans l’urgence. Voir la page sur la violation de données.

Étape 5. Faire vivre la conformité

La mise en conformité n’est pas un document remis un jour et rangé au fond d’un tiroir. Un nouvel outil, un nouveau prestataire, un nouveau salarié : tout cela change le registre. Deux habitudes aident beaucoup : sensibiliser régulièrement les équipes (une demi-journée de formation par an change les réflexes) et prévoir un point de contrôle annuel. Pour les structures qui n’ont pas le temps de le faire en interne, un délégué à la protection des données externalisé peut tenir ce rôle, et reste en tout état de cause facultatif pour la majorité des petites entreprises.

Combien de temps faut-il prévoir ?

Cela dépend de la taille de la structure, du nombre de traitements et de prestataires, et de la nature des données (des données sensibles ou concernant des mineurs alourdissent le dossier). Pour une très petite structure, il s’agit de quelques jours de travail. Je donne un chiffrage précis après le diagnostic, avant tout engagement.

Ce qu’il ne faut pas faire

Télécharger un modèle de registre et l’archiver sans le relire : il ne décrit rien de réel.
Tout vouloir faire en une fois : mieux vaut commencer par le registre et la sécurité de base.
Attendre une plainte ou un contrôle pour s’y mettre.

Cet article présente une démarche générale, il ne remplace pas une consultation juridique. Si une situation tourne au litige, l’avis d’un avocat est nécessaire.

Parlons de votre situation

Je suis Brandon Bayeux, installé au 14 rue Saint-Pierre à Caen, et j’accompagne les TPE, associations, écoles et collectivités du Calvados et de Normandie. Pour savoir par où commencer chez vous, demandez un premier échange ou appelez le 06 86 46 38 46, du lundi au samedi de 9 h à 19 h. Vous pouvez aussi réserver un rendez-vous en ligne.

Sources

CNIL, « RGPD : se préparer en 6 étapes » : cnil.fr
Règlement (UE) 2016/679, articles 28, 30 et 33 : eur-lex.europa.eu
Loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : legifrance.gouv.fr