Le RGPD (Règlement Général sur la Protection des Données) s'applique à toute entreprise qui traite des données personnelles — clients, prospects, salariés. Autrement dit : à toutes. Loin d'être un simple sujet juridique, la conformité repose en grande partie sur des mesures techniques concrètes. Voici une checklist pratique pour avancer sans se noyer.

Ce que le RGPD exige, en résumé

Le principe est simple : vous devez traiter les données personnelles de façon licite, transparente et sécurisée, ne collecter que ce qui est nécessaire, et être capable de démontrer que vous respectez ces règles. Les sanctions en cas de manquement peuvent être lourdes, mais l'objectif premier reste la protection des personnes… et la vôtre en cas d'incident.

Étape 1 : cartographier vos données

On ne protège que ce que l'on connaît. Commencez par lister :

• Quelles données personnelles vous détenez (clients, salariés, prospects) ;
• Où elles sont stockées (logiciels, serveurs, cloud, NAS, postes) ;
• Qui y a accès et pourquoi.

C'est la base du registre des traitements, document central exigé par le RGPD.

Étape 2 : tenir le registre des traitements

Le registre recense vos traitements de données : leur finalité, les catégories de données, les durées de conservation et les mesures de sécurité. C'est votre principale preuve de conformité en cas de contrôle. Il doit vivre et être tenu à jour.

Étape 3 : sécuriser les données (le volet technique)

La sécurité des données est une obligation explicite du RGPD. C'est là que le sujet rejoint la cybersécurité :

• Contrôle des accès : chaque utilisateur n'accède qu'à ce dont il a besoin, avec authentification multifacteur ;
• Chiffrement des postes mobiles avec BitLocker, pour qu'un vol de PC ne devienne pas une fuite de données ;
• Sauvegardes fiables et testées (règle 3-2-1) ;
• Pare-feu et postes à jour pour limiter les intrusions ;
• Accès distants sécurisés par VPN.

Étape 4 : respecter les droits des personnes

Toute personne peut vous demander l'accès à ses données, leur rectification ou leur suppression. Vous devez être capable de répondre dans les délais. Prévoyez une procédure simple et un point de contact identifié en interne.

Étape 5 : encadrer vos sous-traitants

Vos prestataires qui traitent des données pour vous (hébergeur, éditeur de logiciel, prestataire en infogérance) doivent offrir des garanties suffisantes, formalisées par contrat. Vérifiez notamment où sont hébergées les données : un hébergement en Europe simplifie la conformité.

Étape 6 : savoir réagir en cas de violation

En cas de fuite ou de piratage de données personnelles, le RGPD impose de notifier l'autorité compétente sous un délai court, et parfois d'informer les personnes concernées. D'où l'importance d'un plan de réponse à incident, comme pour la conformité NIS2.

Questions fréquentes

Une petite entreprise est-elle vraiment concernée par le RGPD ?

Oui. Le RGPD s'applique quelle que soit la taille, dès lors que vous traitez des données personnelles — ne serait-ce que votre fichier clients ou vos bulletins de paie.

Faut-il obligatoirement un DPO (délégué à la protection des données) ?

Pas toujours : il est obligatoire dans certains cas (traitements à grande échelle, données sensibles). Beaucoup de PME désignent un référent interne à défaut.

IT-CORNER vous accompagne sur le volet technique du RGPD : sauvegarde, sécurité réseau et postes chiffrés. Découvrez nos guides cybersécurité & conformité.