Toute entreprise qui traite des données personnelles doit être en mesure de démontrer sa conformité au RGPD. Clients, prospects, salariés, candidats ou fournisseurs : pratiquement toutes les entreprises sont concernées, quelle que soit leur taille.
Cette démonstration repose en grande partie sur des documents. Certains sont destinés à un usage interne, d’autres doivent être portés à la connaissance des personnes concernées ou des partenaires de l’entreprise.
1/ Pourquoi la documentation est-elle au cœur de la conformité ?
Le Règlement général sur la protection des données (RGPD) repose sur un principe de responsabilité, souvent désigné par le terme anglais « accountability ».
En application des articles 5 et 24 du RGPD, il ne suffit pas de respecter les règles : l’entreprise doit être capable de prouver qu’elle les respecte.
En cas de contrôle de la CNIL, l’absence de documentation est donc, en elle-même, un manquement.
2/ La conformité interne : les documents à tenir au sein de l’entreprise
Le registre des activités de traitement
Le registre recense l’ensemble des traitements de données mis en œuvre par l’entreprise : gestion de la paie, fichier clients, prospection, vidéosurveillance, recrutement, etc. Pour chacun d’eux, il précise notamment la finalité, les catégories de données, les destinataires et les durées de conservation.
L’article 30 du RGPD prévoit une dispense pour les entreprises de moins de 250 salariés, mais celle-ci est très limitée. Dans les faits, la quasi-totalité des entreprises doit tenir un registre.
Le registre des violations de données
Toute violation de données personnelles, telle qu’une perte, un vol ou un accès non autorisé, doit être consignée dans un registre interne, même lorsqu’elle n’a pas à être notifiée à la CNIL.
Lorsque la violation présente un risque pour les personnes concernées, elle doit en outre être notifiée à la CNIL dans un délai de 72 heures. Une procédure interne de gestion des incidents est donc vivement recommandée.
Les analyses d’impact
Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, une analyse d’impact relative à la protection des données (AIPD) doit être réalisée avant sa mise en œuvre. Tel est notamment le cas de certains traitements de données de santé, de surveillance des salariés ou de profilage.
Les procédures et politiques internes
Afin de rendre la conformité effective, l’entreprise doit également se doter de règles internes, notamment :
- une procédure de traitement des demandes d’exercice des droits (accès, rectification, effacement, opposition, etc.), auxquelles il doit être répondu dans un délai d’un mois ;
- une politique de durées de conservation des données ;
- une politique de sécurité des systèmes d’information, précisant notamment la gestion des habilitations et des mots de passe ;
- une charte informatique à destination des salariés, accompagnée d’actions de sensibilisation.
La désignation d’un délégué à la protection des données
La désignation d’un délégué à la protection des données (DPO) est obligatoire pour les organismes publics et pour les entreprises dont l’activité principale implique un suivi régulier et systématique à grande échelle des personnes ou le traitement à grande échelle de données sensibles. Dans les autres cas, elle reste facultative mais recommandée.
3/ La conformité externe : les documents destinés aux tiers
L’information des personnes concernées
Les articles 13 et 14 du RGPD imposent d’informer les personnes dont les données sont collectées. Cette information prend notamment la forme :
- d’une politique de confidentialité accessible sur le site internet ;
- de mentions d’information sur les formulaires de collecte ;
- d’une note d’information à destination des salariés et des candidats.
L’information doit être claire, accessible et rédigée en des termes compréhensibles par tous.
La gestion des cookies
Le dépôt de cookies non essentiels, notamment publicitaires ou de mesure d’audience non exemptée, suppose le consentement préalable de l’internaute. Le site doit comporter un bandeau permettant de refuser les cookies aussi facilement que de les accepter, ainsi qu’une politique de gestion des cookies.
Les contrats avec les prestataires et partenaires
Lorsque l’entreprise confie des données à un prestataire (hébergeur, éditeur de logiciel, expert-comptable, prestataire de paie, etc.), l’article 28 du RGPD impose la conclusion d’un contrat comportant des clauses spécifiques relatives à la protection des données.
En cas de transfert de données hors de l’Union européenne, des garanties complémentaires doivent être mises en place, le plus souvent au moyen des clauses contractuelles types adoptées par la Commission européenne.
4/ Quels sont les risques en cas de manquement ?
Les manquements au RGPD peuvent être sanctionnés par une amende administrative pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
Depuis 2022, la CNIL dispose en outre d’une procédure de sanction simplifiée, qui lui permet de sanctionner plus rapidement les manquements les moins complexes, par des amendes pouvant atteindre 20 000 euros.
Au-delà des sanctions, la conformité au RGPD est de plus en plus souvent exigée par les clients et partenaires dans le cadre des relations commerciales.
Conclusion
La conformité au RGPD ne se limite pas à la publication d’une politique de confidentialité sur un site internet. Elle suppose une documentation interne à jour et des engagements contractuels adaptés avec les partenaires de l’entreprise.
L’accompagnement par un avocat permet d’établir un état des lieux de la conformité de l’entreprise, de rédiger les documents nécessaires et de sécuriser les contrats conclus avec les prestataires.
Sources :
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), notamment articles 5, 13, 14, 24, 28, 30, 33, 35, 37 et 83 ;
- loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment article 82.
Pour approfondir ce sujet : Protection des données : le Brésil bénéficie d’une décision d’adéquation de l’UE ; Contract management : la gouvernance contractuelle, un enjeu stratégique pour l’entreprise.
Découvrez également les domaines d’intervention du cabinet en droit des affaires.