Le RGPD a mauvaise réputation parce qu’on l’a présenté aux petites structures avec les mêmes documents qu’aux grandes. Dans les faits, si vous avez un fichier clients, un cahier de rendez-vous et des caméras, vous êtes concerné — et l’essentiel du travail consiste à écrire ce que vous faites déjà.
Les quatre obligations qui vous concernent vraiment
-
01
Tenir un registre des traitements
Une demi-journée, puis une relecture par an
C’est un tableau, pas un rapport. Une ligne par usage que vous faites de données personnelles : fichier clients, gestion de la paie, liste de diffusion, vidéosurveillance, prise de rendez-vous. Pour chaque ligne : à quoi ça sert, quelles données, combien de temps, qui y accède.
- La CNIL publie un modèle simplifié gratuit pour les petites structures.
- Ce registre est obligatoire, et c’est le premier document demandé en cas de contrôle.
- Il se relit une fois par an, pas plus.
-
02
Informer les personnes concernées
Une fois, puis à chaque nouveau formulaire
Toute personne dont vous collectez des données doit savoir pourquoi, pour combien de temps, et comment exercer ses droits. En pratique : une page « données personnelles » sur votre site, une mention sous chaque formulaire, et un affichage pour les caméras.
- La mention doit être lisible et compréhensible — pas un pavé juridique en petits caractères.
- Pour les caméras, l’affichage doit être visible avant d’entrer dans la zone filmée.
-
03
Ne pas garder les données indéfiniment
À définir une fois
C’est le point le plus souvent négligé : conserver un fichier client de 2012 « au cas où » est un manquement. Fixez une durée par type de données et tenez-vous-y.
- Prospects sans suite : trois ans après le dernier contact est l’usage courant.
- Documents comptables : dix ans, obligation légale.
- Images de vidéosurveillance : un mois maximum en pratique courante, sauf procédure en cours.
-
04
Sécuriser les accès
À l’installation, puis en continu
La sécurité n’est pas une obligation abstraite : c’est ce qui empêche une fuite. Un mot de passe par personne, un poste chiffré, une sauvegarde chiffrée, et pas de fichier client sur une clé USB dans une poche.
- Session individuelle, jamais partagée.
- Chiffrement du disque des ordinateurs portables — ce sont eux qui se perdent.
- Accès retirés le jour du départ d’un salarié, pas la semaine suivante.
Ce dont vous n’avez probablement pas besoin
Beaucoup de petites structures paient pour des prestations qui ne les concernent pas. Voici le tri.
Obligatoire pour vous
À faire
- Le registre des traitements
- L’information des personnes
- Des durées de conservation définies
- Des mesures de sécurité proportionnées
- Un contrat avec vos sous-traitants informatiques
Ces cinq points constituent le socle. Ils se traitent en une demi-journée pour une petite structure.
Rarement nécessaire
Sauf cas particulier
- Un délégué à la protection des données (DPO)
- Une analyse d’impact complète
- Un audit de conformité annuel payant
- Une certification RGPD — elle n’existe pas comme telle
Le DPO devient obligatoire dans des cas précis, notamment le suivi systématique à grande échelle ou le traitement massif de données sensibles.
Le cas des données de santé
Si vous êtes une profession de santé — cabinet dentaire, vétérinaire, kinésithérapeute, infirmier — vos données relèvent d’une catégorie particulière, dite sensible. Les obligations sont les mêmes, mais le niveau d’exigence est supérieur : accès strictement cloisonnés, traçabilité des consultations, et hébergement chez un prestataire certifié HDS dès que les données quittent votre cabinet.
Cela ne veut pas dire qu’il faut tout externaliser. Un serveur local correctement configuré, sauvegardé et cloisonné reste parfaitement légitime. C’est au moment où le logiciel métier passe en ligne que la question de l’hébergeur certifié se pose.