Beaucoup de PME ont traité le RGPD sous l'angle des cases à cocher : bandeau cookies, mentions légales, registre. C'est nécessaire, mais ça oublie l'essentiel de la loi - l'obligation de protéger réellement les données personnelles que l'entreprise détient. Et cette obligation-là est technique autant que juridique.
Ce que le RGPD exige en matière de sécurité
Le texte impose des mesures « techniques et organisationnelles appropriées » pour garantir la sécurité des données. Traduit pour un dirigeant, cela signifie : les données personnelles de vos clients et salariés doivent être protégées contre l'accès non autorisé, la perte et la fuite. Une entreprise qui héberge des dossiers clients sensibles sans mesures de sécurité sérieuses n'est pas conforme, même avec des mentions légales impeccables.
La violation de données : l'obligation qu'on découvre trop tard
En cas de fuite de données personnelles (messagerie piratée, ransomware, vol de fichiers), une PME peut être tenue de notifier la CNIL dans un délai court, et parfois d'informer les personnes concernées. Beaucoup de dirigeants l'ignorent jusqu'au jour de l'incident. Ne pas déclarer une violation qui devait l'être aggrave la situation.
Les secteurs où l'enjeu est le plus fort
Certaines professions cumulent RGPD et obligations propres :
- Avocats : secret professionnel, en plus du RGPD.
- Professionnels de santé : données de santé, particulièrement protégées.
- Experts-comptables : données financières et personnelles de nombreux tiers.
- Conseillers en gestion de patrimoine : données patrimoniales sensibles, sous le regard de leurs propres autorités.
- Agences immobilières : pièces d'identité, données bancaires, dossiers locataires.
Pour ces professions, une faille de sécurité n'est pas seulement un risque CNIL : c'est un risque déontologique et réputationnel.
Les mesures de sécurité qui répondent au RGPD
- Contrôle des accès : qui accède à quelles données, et suppression des accès des anciens salariés.
- Chiffrement des données sensibles, notamment sur les postes portables.
- Sauvegardes protégées et testées (une perte de données est aussi un incident RGPD).
- Sécurisation de la messagerie, principal vecteur de fuite.
- Encadrement des sous-traitants informatiques, qui accèdent souvent à vos données.
Le rôle de l'évaluation
Le RGPD demande de pouvoir démontrer que l'on a pris des mesures appropriées (principe de responsabilité). Une évaluation de sécurité documentée constitue précisément cette preuve : elle montre que l'entreprise a identifié ses risques et agit - un élément précieux face à la CNIL comme face à un client exigeant.
Ce qu'il faut retenir
La conformité RGPD ne se joue pas seulement dans les documents, mais dans la sécurité réelle des données. Pour les professions manipulant des données sensibles, faire évaluer et documenter sa sécurité est à la fois une protection contre l'incident et une preuve de sérieux.
