Appliquer le RGPD dans une TPE ou PME : les questions/réponses de la CNIL

Oui.

Le RGPD s’applique à tous les professionnels, quels que soient leur taille et leur secteur d’activité, mais l’application du RGPD est modulée selon la nature, le contexte, les finalités et les risques des traitements mis en œuvre.

Ainsi, pour les TPE dont le cœur de métier n’est pas le traitement de données personnelles, les obligations sont bien moindres que pour une grosse société (par exemple les cas où l’analyse d’impact ou la désignation d’un délégué à la protection des données sont rares)

La CNIL a une approche pragmatique dans son rôle d’accompagnement des acteurs : prenant la mesure des enjeux de sensibilisation pour les TPE PME, elle a mis en œuvre un plan d’action à leur attention, reposant sur des outils adaptés et une démarche d’accompagnement :

En proposant des fiches pratiques et des outils

La CNIL élabore des outils spécifiques comme :

• un guide de vulgarisation du RGPD, coédité avec BpiFrance ;
• des référentiels, notamment sur la gestion du personnel ;
• un guide concernant les durées de conservation des données ;
• un modèle simplifié de registre ;
• des exemples de mentions d’information des personnes ;
• etc.

En accompagnant les têtes de réseaux

La démarche d’accompagnement consiste à assister les têtes de réseaux, tant dans leur production de guides pratiques qu’en répondant à leurs demandes de conseil spécifiques aux différents secteurs d’activité. La mise en place d’un point d’entrée dédié a permis de mener cette action auprès de plus de 100 entreprises en 2020 (contre 50 en 2019).

Au-delà, la CNIL accompagne les TPE et PME grâce à des partenariats avec :

• l’ordre des experts comptables en septembre 2020 ;
• le médiateur des entreprises, en septembre 2020 également ;
• France Num, la politique publique de transformation numérique des TPE, dont la CNIL est partenaire au même titre que les réseaux territoriaux (CCI, chambre d’artisanat, régions, Dirrecte, etc.) qui sont intégrés au maillage de l’écosystème des TPE et PME.

Enfin, la CNIL valide la conformité des codes de conduite professionnels et certifie des organismes et des référentiels de certification tel celui relatif aux compétences du DPO.   

Oui.

Le RGPD concerne aussi les fichiers papier et pas seulement les traitements automatisés de données concernant des personnes physiques.

Oui, dès lors que des données personnelles sont traitées.

Ce registre vous permet aussi de faire l’inventaire de vos fichiers de données personnelles (gestion de la paye, gestion des clients prospects, des fournisseurs etc.). Vous aurez ainsi une vision d’ensemble des informations dont vous disposez (à quoi servent les données, comment elles sont traitées, qui y a accès, avec qui elles sont partagées, comment elles sont sécurisées…)

Il s’agit aussi d’une obligation légale et est demandé systématiquement par la CNIL en cas de contrôle. La CNIL a élaboré un modèle simplifié, adapté à la plupart des besoins.

Pour les sous-traitants, qui doivent tenir un registre spécifique pour les traitements qu’ils opèrent pour les responsables de traitement, la CNIL a élaboré un guide complet.

En cas de doute sur la façon dont vous devez tenir votre registre, vous pouvez vous rapprocher d’une association professionnelle.

Le RGPD prévoit des droits spécifiques pour les personnes que vous devez respecter, en particulier :

• en informant les personnes lors de la collecte des données personnelles par des mentions à inscrire sur les formulaires/questionnaires, qui peuvent renvoyer sur une politique de confidentialité ou une page « vie privée », etc. ;
• en répondant aux demandes d’exercice des droits (accès, rectification, opposition, effacement, etc.) des personnes dont vous traitez les données, qu’il s’agisse de clients, collaborateurs, prestataires, etc.

Les entreprises transparentes quant à leur utilisation des données personnelles et qui respectent les droits des personnes sont moins susceptibles d’entraîner des critiques (par exemple sur les réseaux sociaux) ou des plaintes auprès de la CNIL.

Oui.

Les sous-traitants (c’est-à-dire les personnes ou organismes qui traitent des données pour le compte d’un responsable de traitement dans le cadre d’un service ou d’une prestation), comme les responsables de traitement, doivent respecter le RGPD. La CNIL propose des fiches pratiques et un guide pour accompagner la conformité, de la signature du contrat à la prestation.

Les mesures de sécurité à prendre varient selon la sensibilité des données et des risques pour les personnes. Toutefois, des règles de bon sens s’imposent systématiquement telles que le verrouillage de la session en cas d’absence momentanée et la fermeture du bureau en fin de journée.

Par ailleurs, un socle commun de mesures minimales à mettre en œuvre existe :

• sécuriser les accès aux locaux ;
• mettre à jour antivirus et logiciels ;
• choisir ses mots de passe avec soin ;
• créer des profils distincts selon les besoins des utilisateurs pour accéder aux données ;
• disposer d’une procédure de sauvegarde et de récupération des données en cas d’incident.

Le site de la CNIL propose une approche progressive en matière de sécurité des données pour adapter les mesures à prendre aux risques réels auxquels l’entreprise est exposée.

L’ANSSI et la CPME proposent également un guide de bonnes pratiques.

Non, sauf dans le cas d’une convocation : la personne contrôlée est alors informée au moins 8 jours avant la date du contrôle (la personne convoquée peut alors se faire assister d’un conseil).

Lors d’un contrôle sur place, la notification est faite au responsable des lieux au début du contrôle.

La CNIL a publié une fiche dédiée aux contrôles ainsi qu’une charte pour les organismes contrôlés.

Ca dépend.

Tous les éléments pertinents sont pris en compte par la CNIL pour apprécier les suites à donner à ses investigations.

Dans certains cas, les manquements à la réglementation sont peu significatifs et un courrier de clôture est alors envoyé avec des demandes telles que modifier les durées de conservation, prendre certaines mesures de sécurité, etc.

En cas de manquements plus importants, même si c’est la « première fois », des mesures répressives peuvent être prises, comme une mise en demeure de se conformer dans un délai imparti ou des sanctions, pécuniaires ou non.

Non, sauf exceptions.

Les données relatives à la santé, ou concernant la vie sexuelle, l’origine raciale ou ethnique, les opinions politiques, religieuses philosophiques, les données génétiques et biométriques sont particulièrement protégées. Ainsi le RGPD interdit de recueillir ou d’utiliser ces données, sauf, notamment, si la personne concernée a donné son consentement exprès (démarche active, explicite et de préférence écrite, qui doit être libre, spécifique, et informée) et que ces données sont pertinentes et proportionnées à l’objet du traitement.

Les exceptions sont prévues à l’article 9 du RGPD.

Exemples :

• en matière de gestion du patrimoine, la mention d’un fils « décédé du sida » semble excessive et non pertinente.
• en matière d’aide à domicile, l’accompagnement social et/ou médico-social des personnes peut rendre nécessaire le traitement de la donnée de santé aux fins de prise en charge sanitaire ou sociale. Le Code de la santé publique prévoit que les accompagnants éducatifs et sociaux (art. R. 1110-2), peuvent échanger « des informations relatives à une même personne prise en charge, à condition qu’ils participent tous à sa prise en charge et que ces informations soient strictement nécessaires à la coordination ou à la continuité des soins, à la prévention ou à son suivi médico-social et social ».