Quel est le cadre juridique RGPD applicable à votre entreprise ?

Le RGPD (règlement général deprotection des données) est applicable dans les pays de l’Union européenne,dont la France, depuis mai 2018. Il concerne toutes les entreprises, TPE commeETI, dés lors que vous collectez des données personnelles de personnesphysiques, identifiées ou identifiables :

-       Clients

-       Prospects

-       Salariés

-       Candidats à l’embauche

-       Fournisseurs…

‍

Des aménagements pour les TPE/PME

Une TPE/PME bénéficie d’aménagements de format pour certaines des obligations mais ne peut pas être exonérée du respect du RGPD (ce serait trop simple, en même temps).

Vous devez notamment tenir un registre des activités de traitement qui recense les données collectées, l’objectif de la collecte, leur durée de conservation et les mesures de sécurité associées. Ce régime est allégé pour les entreprises de moins de 250 salariés. Vous avez moins de clients qu’une multinationale, certes, mais vous devez quand même les protéger !

Vous devez également identifier une base légale précise pour chaque traitement, que ce soit un consentement ou un contrat. Autre sujet majeur, l’information des personnes dont vous allez collecter les données et la possibilité pour eux de refuser cette collecte. La petite case à cocher dans un formulaire de téléchargement ou le lien de désinscription sur une newsletter ne sont donc pas des options.

Vous pouvez retrouver l’ensemble de vos obligations directement sur le site de la CNIL (Commission nationale informatique et libertés)

‍

Quels sont les risques pour votre entreprise en cas de non-conformité au RGPD ?

En cas de non-conformité au RGPD, il y a les risques légaux, facilement identifiables, mais également les risques économiques : une entreprise qui ne sécurise pas suffisamment les données de ses clients peut voir sa levée de fonds compromise. Je n’exagère pas, je l’ai déjà constaté.

‍

Les sanctions prévues par la loi

Le montant maximal des sanctions prévues par le RGPD est souvent le seul chiffre que retiennent les dirigeants. Il faut dire qu’une amende pouvant aller jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires mondial, ça fait peur, je vous comprends. Mais cela ne concerne que les manquements graves commis par les grandes structures, pas ce que vous risquez en tant que PME.

La CNIL a mis en place un processus de sanction dédié aux petites et moyennes structures (c’est sympa, merci). Défaut d’information, absence à une réponse de droit d’accès… La CNIL met alors en place ce qu’elle appelle « la chaine répressive ».

- Rappel à l’ordre

- Mise en demeure de mettre le traitement en conformité, y compris sous astreinte d’un montant maximal de 100 € par jour de retard

- Amende administrative d’un montant maximal de 20 000 €.

A savoir : les contrôles de la CNIL interviennent le plus souvent suite à une plainte ou la déclaration d’une violation des données. Ce n’est pas pour autant une raison pour faire l’autruche en attendant que quelqu’un se plaigne.

‍

Les risques économiques et d’image d’un non-respect du RGPD

Une mise en demeure ou une sanction CNIL est rendue publique. Et là, problème : au-delà de la sanction, c’est la réputation de votre entreprise qui est mise en danger, surtout si vous êtes en pleine négociation pour un rachat ou une levée de fonds.  

En effet, de plus en plus d’entreprises intègrent la conformité RGPD dans leurs audits fournisseurs et un appel d’offres peut demander des garanties en termes de respect du règlement général de protection des données. Autant d’épines que vous vous glissez sous le pied si vous ne vous mettez pas vite en conformité.

A savoir : la conformité RGPD est aujourd’hui systématiquement vérifiée lors d’une due diligence, qu’il s’agisse de l’entrée au capital d’un investisseur ou du rachat de l’entreprise. Si une non-conformité est détectée, les conséquences sont concrètes :

- Une décote sur la valorisation de votre entreprise

- L’insertion d’une clause de garantie de passif spécifique RGPD

- Le séquestre d’une partie du prix de cession jusqu’à la mise en conformité.

- Le renoncement pur et simple de l’investisseur ou de l’acheteur si le niveau de risque est trop élevé.

‍

Mise en conformité RGPD : la check-list qui peut vous éviter des sanctions et préserver votre réputation

La mise en conformité RGPD n’est donc ni optionnelle, ni une dépense de confort : c’est un élément qui pèse directement sur l’image et la valeur de votre entreprise. Voici une liste d’actions à réaliser en 30 jours.

‍

Jours 1 à 10 : l’importance de l’état des lieux

Vous devez cartographier l’ensemble des traitements de données qui existent au sein de votre entreprise : DRH, direction marketing, direction financière… Qui collecte quoi, pourquoi, où et comment.

Cette cartographie va servir de base à constitution ou à la mise à jour d’un registre des activités de traitement (vous trouverez un modèle sur le site de la CNIL).

A ce moment-là, vous allez pouvoir identifier l’ensemble des prestataires et sous-traitants techniques nécessaires à la mise en conformité : hébergeur de votre site, CRM, outils de marketing automation, etc.

‍

Jours 11 à 20 : corrigez les manquements prioritaires

Chacun des traitements que vous avez recensés doit être rattaché à une base légale claire. De plus, les mentions d’information des personnes dont les données sont collectées doivent être vérifiées et mises à jour : politique de confidentialité sur votre site, formulaires, contrats de travail…

Le bandeau de gestion des cookies et vos outils de mesure d'audience doivent impérativement être contrôlés. Ce sont les points les plus fréquemment sanctionnés par la CNIL.

‍

Jours 21 à 30 : sécurisez et documentez

Cette dernière phase n’est pas la moins importante ! Vous devez vérifier les mesures de sécurité prises :

- Gestion des accès aux données

- Politique de sauvegarde

- Chiffrement et gestion des mots de passe.

Une procédure interne de gestion de violation des données doit être formalisée, un plan de gestion de crise en quelque sorte. Cette procédure doit préciser le rôle de chaque intervenant et a manière dont la CNIL sera notifiée en cas d’incident (parce que oui, notifier la CNIL est obligatoire, et ce sous 72 heures)

L'objectif final de cette phase est de disposer d'un dossier de conformité présentable en cas de contrôle mais aussi lors d’une réponse à un appel d’offres ou une négociation avec un investisseur.

A savoir : ce calendrier permet de traiter l’urgent et de poser des fondations solides mais vous devez continuer de construire la conformité RGPD de votre entreprise. L’aide d’un prestataire technique peut donc s’avérer précieuse.

‍

En tant qu’avocate, je n’ai pas vocation à me substituer à un délégué à la protection des données ou à un développeur mais je peux vous accompagner, en rédigeant et revoyant les clauses contractuelles sensibles ou en sécurisant juridiquement votre plan de mise en conformité. Réservez un rendez-vous pour en savoir plus.

‍