RGPD pour les TPE : par où commencer

Beaucoup de dirigeants de TPE pensent que le RGPD ne les concerne pas, ou qu'il est trop complexe pour eux. Ni l'un ni l'autre : dès qu'on traite des données personnelles, il s'applique, et une petite structure peut se mettre en règle avec méthode.

Comprendre ce qu'est une donnée personnelle

Une donnée personnelle est toute information se rapportant à une personne identifiable : un nom, un email, un numéro de téléphone, parfois une simple adresse IP. Dès que vous gérez des clients, des prospects ou des salariés, vous en traitez.

Les premières étapes

• recenser les données que vous collectez et pourquoi ;
• constituer un registre des traitements ;
• informer les personnes et sécuriser les données ;
• être prêt à répondre à leurs demandes.

Documenter sa démarche

Le RGPD repose sur la responsabilité : vous devez pouvoir démontrer ce que vous faites. C'est le rôle du registre et des documents que vous publiez. Une conformité non documentée est une conformité qu'on ne peut pas prouver.

Un état des lieux en quelques questions

Avant de rédiger quoi que ce soit, prenez une heure pour faire le tour de votre activité. Où arrivent les données : formulaire de contact, devis, facturation, prise de rendez-vous, newsletter ? Où sont-elles stockées : boîte mail, tableur, logiciel de gestion, téléphone ? Qui y accède : vous seul, un associé, un prestataire ? Ces réponses simples constituent la matière première de toute votre démarche.

Les points de contrôle du premier tour

1. lister chaque outil qui contient des noms, des emails ou des numéros de téléphone ;
2. noter pour chacun la raison de la collecte et la durée de conservation prévue ;
3. repérer les données inutiles, que l'on peut cesser de collecter dès maintenant ;
4. identifier les prestataires qui accèdent à ces données pour votre compte.

Avancer pas à pas

La conformité n'est pas un mur à franchir d'un coup, mais un chemin balisé. Le premier jalon est souvent le registre des traitements, pièce maîtresse de la démarche.