Glossaire : 35 termes de la mise en conformité RGPD des TPE expliqués

Analyse d'impact (AIPD): Étude préalable que le responsable de traitement mène lorsqu'un traitement présente un risque élevé pour les personnes : surveillance systématique, données sensibles à grande échelle, profilage. Elle décrit le traitement, évalue sa nécessité, identifie les risques et les mesures pour les réduire. Une TPE à l'activité courante n'a généralement pas à en réaliser ; elle devient pertinente dès que l'on croise des données de santé, de la géolocalisation ou de la vidéosurveillance étendue. En cas de doute, l'analyse se justifie plus qu'elle ne coûte.
Voir aussi : RGPD pour les TPE : par où commencer.
Anonymisation: Transformation irréversible qui rend impossible l'identification d'une personne, directement ou par recoupement. Une donnée anonymisée sort du champ du RGPD, ce qui explique l'intérêt de la technique pour les statistiques ou les études. La difficulté tient au mot irréversible : supprimer le nom en gardant l'adresse, la date de naissance et la profession ne suffit pas, car le recoupement reste possible. À distinguer de la pseudonymisation, qui conserve une clé de correspondance et laisse les données dans le champ du règlement.
Autorité de contrôle: Organisme public chargé, dans chaque pays de l'Union européenne, de veiller à l'application du règlement, d'informer les personnes et les entreprises, de recevoir les plaintes et de mener des contrôles. C'est auprès d'elle que l'on notifie une violation de données lorsque le risque le justifie, et vers elle que se tournent les personnes qui estiment leurs droits ignorés. Son site publie des guides et des modèles utiles à une petite structure. Elle peut prononcer des rappels à l'ordre, des mises en demeure et des sanctions.
Voir aussi : Réagir à une demande ou à une fuite de données.
Bannière cookies: Fenêtre ou bandeau affiché à l'arrivée sur un site pour recueillir le consentement du visiteur avant le dépôt de traceurs non essentiels. Pour être valable, elle présente le refus et l'acceptation avec la même facilité, décrit les finalités et les outils concernés, ne dépose rien avant le choix et laisse un moyen de revenir sur la décision. Un site sans traceur soumis à consentement peut s'en passer. Le simulateur de bannière cookies aide à savoir si la vôtre est nécessaire.
Voir aussi : Cookies et consentement : ce qu'il faut savoir, Simulateur de bannière cookies.
Base légale: Fondement juridique qui autorise un traitement. Le règlement en prévoit plusieurs, dont quatre concernent surtout une TPE : l'exécution d'un contrat (établir un devis, livrer une commande), une obligation légale (conserver les factures, tenir la paie), l'intérêt légitime (prospecter ses clients existants, sécuriser ses locaux) et le consentement (envoyer une newsletter à un prospect). Chaque fiche du registre indique sa base légale, et le choix a des conséquences : un traitement fondé sur le consentement cesse dès que la personne le retire.
Voir aussi : Le registre des traitements : le document central.
Consentement: Accord libre, spécifique, éclairé et univoque par lequel une personne accepte un traitement de ses données. Libre signifie qu'un refus n'entraîne aucune pénalité ; spécifique, qu'il porte sur une finalité précise ; éclairé, que la personne sait à quoi elle consent ; univoque, qu'il résulte d'un acte positif et non d'une case précochée ou d'un silence. Le consentement se prouve et se retire aussi facilement qu'il se donne. Il n'est pas la base légale par défaut : un contrat ou une obligation légale suffit souvent.
Voir aussi : Cookies et consentement : ce qu'il faut savoir.
Cookie: Petit fichier déposé par un site dans le navigateur du visiteur, qui permet de le reconnaître d'une page ou d'une visite à l'autre. Certains sont indispensables au fonctionnement du site, comme la mémorisation d'un panier ou d'une session connectée, et ne demandent pas de consentement. D'autres servent la mesure d'audience, la publicité ou les réseaux sociaux et ne peuvent être déposés qu'après accord du visiteur. Le terme désigne par extension tous les traceurs, y compris ceux qui n'utilisent pas de fichier.
Voir aussi : Cookies et consentement : ce qu'il faut savoir.
Délégué à la protection des données (DPO): Personne, interne ou externe, chargée de conseiller l'organisme sur la protection des données, de contrôler l'application du règlement et de servir de point de contact avec l'autorité de contrôle. Sa désignation n'est obligatoire que dans certaines situations, notamment pour les organismes publics et les structures dont l'activité principale implique un suivi régulier et systématique des personnes ou des données sensibles à grande échelle. Une TPE courante n'y est pas tenue, mais peut désigner un référent en interne pour centraliser les questions.
Voir aussi : RGPD pour les TPE : par où commencer.
Destinataire: Toute personne ou organisme qui reçoit communication de données personnelles : un collaborateur, l'expert-comptable, le logiciel de facturation, l'hébergeur, un transporteur. Le registre liste les destinataires de chaque traitement, et la politique de confidentialité les mentionne par catégories. Distinguer les destinataires internes, les sous-traitants qui agissent pour votre compte et les tiers qui poursuivent leurs propres finalités, comme un organisme social, aide à cerner la responsabilité de chacun.
Voir aussi : Sous-traitants et hébergeurs : la chaîne de responsabilité.
Donnée personnelle: Toute information se rapportant à une personne physique identifiée ou identifiable : nom, adresse, courriel, numéro de téléphone, mais aussi plaque d'immatriculation, adresse IP, photo, voix, identifiant client ou historique d'achats. La notion est large : une donnée qui ne nomme personne mais permet de retrouver quelqu'un par recoupement reste personnelle. Les informations sur une société ne sont pas des données personnelles, mais celles sur son gérant ou son interlocuteur le sont.
Voir aussi : RGPD pour les TPE : par où commencer.
Données sensibles: Catégories de données dont le traitement est interdit par principe, sauf exceptions encadrées : origine ethnique, opinions politiques ou religieuses, appartenance syndicale, santé, vie sexuelle, données génétiques et biométriques. Une TPE peut en manipuler sans s'en rendre compte : un menu adapté à une allergie, une absence pour maladie, une photo utilisée pour la reconnaissance faciale. Ces traitements demandent une vigilance particulière, une base solide, souvent le consentement explicite, et des mesures de sécurité renforcées.
Voir aussi : Sécuriser les données personnelles au quotidien.
Droit à la portabilité: Droit pour une personne de récupérer les données qu'elle a fournies, dans un format structuré et couramment utilisé, afin de les transmettre à un autre prestataire. Il s'applique aux traitements fondés sur le consentement ou sur un contrat et réalisés par des moyens automatisés. Pour une TPE, il se traduit par la capacité d'exporter les données d'un client depuis ses logiciels, par exemple son historique de commandes, dans un fichier lisible par une autre application.
Voir aussi : Les droits des personnes : accès, rectification, effacement.
Droit à l'effacement: Droit pour une personne d'obtenir la suppression de ses données lorsqu'elles ne sont plus nécessaires, que le consentement est retiré, que le traitement est illicite ou qu'elle s'y oppose légitimement. Il n'est pas absolu : une facture doit être conservée pendant la durée imposée par les obligations comptables, même si le client demande l'effacement. Il faut alors expliquer ce qui est supprimé, ce qui est conservé et pourquoi. Le registre, avec ses durées de conservation, sert de référence.
Voir aussi : Les droits des personnes : accès, rectification, effacement.
Droit d'accès: Droit pour toute personne de savoir si vous détenez des données la concernant et d'en obtenir une copie, accompagnée des informations sur les finalités, les destinataires, la durée de conservation et l'origine des données. C'est la demande la plus fréquente qu'une TPE reçoit. Y répondre suppose de parcourir chaque outil listé au registre, de vérifier l'identité du demandeur sans excès de zèle et de répondre par écrit dans le délai prévu par le règlement.
Voir aussi : Les droits des personnes : accès, rectification, effacement, Réagir à une demande ou à une fuite de données.
Droit de rectification: Droit pour une personne de faire corriger des données inexactes ou de compléter des données incomplètes. En pratique, une adresse erronée, un nom mal orthographié ou une situation qui a changé. La correction doit être répercutée dans tous les outils où la donnée figure et, lorsque c'est possible, communiquée aux destinataires à qui elle a été transmise. Un registre à jour permet de savoir rapidement où chercher.
Voir aussi : Les droits des personnes : accès, rectification, effacement.
Droit d'opposition: Droit pour une personne de s'opposer, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l'intérêt légitime, et de s'opposer sans justification à la prospection commerciale. Le lien de désinscription d'une newsletter et la mention « vous pouvez vous opposer à recevoir nos offres » sous un formulaire en sont les traductions courantes. L'opposition à la prospection doit être prise en compte sans délai et sans condition.
Voir aussi : Les droits des personnes : accès, rectification, effacement.
Durée de conservation: Période pendant laquelle une donnée est gardée sous une forme permettant d'identifier la personne. Elle se fixe par finalité : le temps de la relation commerciale, la durée imposée par les obligations comptables ou sociales, un délai raisonnable après le dernier contact pour un prospect. Le règlement n'impose pas de durée unique, il impose d'en décider une, de l'écrire au registre, de l'annoncer aux personnes et de l'appliquer réellement, par suppression ou par archivage à accès restreint.
Voir aussi : Le registre des traitements : le document central.
Finalité: Raison précise pour laquelle des données sont collectées et utilisées : gérer les commandes, tenir la comptabilité, envoyer une newsletter, recruter, sécuriser les locaux. La finalité est la clé de voûte de chaque traitement : elle détermine les données nécessaires, la base légale, la durée de conservation et l'information à donner. Un usage nouveau des mêmes données, par exemple prospecter à partir d'un fichier constitué pour livrer, est une finalité distincte qui doit être annoncée.
Voir aussi : Le registre des traitements : le document central.
Hébergeur: Prestataire qui stocke votre site, vos sauvegardes ou vos applications sur ses serveurs. Il agit comme sous-traitant pour les données personnelles qu'il abrite, et son identité figure dans les mentions légales. Avant de le choisir ou de le conserver, vérifiez la localisation des serveurs, les engagements contractuels de protection des données, les modalités de sauvegarde et de restitution, et l'existence d'un transfert hors Union européenne.
Voir aussi : Sous-traitants et hébergeurs : la chaîne de responsabilité, Mentions légales d'un site : ce qui est obligatoire.
Information des personnes: Obligation de dire aux personnes, au moment de la collecte, qui traite leurs données, pourquoi, sur quelle base, pendant combien de temps, qui les reçoit et quels droits elles ont. Elle prend la forme de la politique de confidentialité, d'une mention courte sous chaque formulaire, d'un paragraphe dans les conditions générales ou d'un affichage à l'entrée d'un local vidéosurveillé. L'information doit être facile d'accès et rédigée en termes clairs.
Voir aussi : Rédiger une politique de confidentialité claire.
Intérêt légitime: Base légale qui autorise un traitement lorsque l'entreprise poursuit un intérêt réel et que celui-ci ne l'emporte pas sur les droits des personnes. Exemples courants pour une TPE : prospecter ses clients existants pour des produits similaires, sécuriser ses locaux, lutter contre la fraude. Elle suppose de mettre en balance l'intérêt de l'entreprise et les attentes raisonnables des personnes, et d'en garder une trace écrite. Elle ne couvre pas les usages que les personnes ne s'attendraient pas à voir.
Voir aussi : Le registre des traitements : le document central.
Mentions légales: Page obligatoire de tout site professionnel qui identifie son éditeur : raison sociale ou nom, forme juridique, adresse, numéro d'immatriculation, contact, directeur de la publication, et coordonnées de l'hébergeur. Certaines professions réglementées y ajoutent des informations propres à leur statut. Elles ne relèvent pas du RGPD mais des règles d'identification des sites et se distinguent de la politique de confidentialité, avec laquelle on les confond souvent.
Voir aussi : Mentions légales d'un site : ce qui est obligatoire.
Mesure de sécurité: Disposition technique ou organisationnelle destinée à protéger les données contre la perte, l'altération, la divulgation ou l'accès non autorisé. Pour une TPE : mots de passe robustes et distincts, double authentification, comptes nominatifs, mises à jour, sauvegardes testées, chiffrement des ordinateurs portables, armoire fermée pour les dossiers papier, sensibilisation aux mails frauduleux. Le règlement demande des mesures adaptées au risque, pas un dispositif de grande entreprise ; les décrire dans le registre fait partie de la démarche.
Voir aussi : Sécuriser les données personnelles au quotidien.
Minimisation: Principe selon lequel on ne collecte que les données adéquates, pertinentes et limitées à ce qui est nécessaire pour la finalité poursuivie. Un formulaire de contact n'a pas besoin de l'adresse postale, un devis n'a pas besoin de la date de naissance. Appliquée dès la conception d'un formulaire ou d'un fichier, la minimisation réduit à la fois le risque en cas de fuite et le travail de conformité, car il y a moins de données à protéger, à conserver et à restituer.
Voir aussi : RGPD pour les TPE : par où commencer.
Personne concernée: Personne physique dont les données sont traitées : client, prospect, salarié, candidat, fournisseur individuel, visiteur du site. C'est elle qui détient les droits d'accès, de rectification, d'effacement, d'opposition et de portabilité, et à qui l'information doit être donnée. Le registre décrit, pour chaque traitement, les catégories de personnes concernées, ce qui aide à ne pas oublier les traitements internes comme la paie ou le recrutement.
Voir aussi : Les droits des personnes : accès, rectification, effacement.
Politique de confidentialité: Document publié sur le site qui informe les visiteurs et les clients de ce que l'entreprise fait de leurs données : identité du responsable, traitements concernés, finalités, bases légales, durées de conservation, destinataires, transferts éventuels, droits et moyens de les exercer. Elle découle directement du registre et doit rester exacte : une politique recopiée d'un autre site décrit des pratiques qui ne sont pas les vôtres. Elle se relit à chaque changement d'outil ou d'activité.
Voir aussi : Rédiger une politique de confidentialité claire.
Protection dès la conception: Principe qui demande d'intégrer la protection des données dès la création d'un service, d'un formulaire, d'un fichier ou d'un logiciel, et par défaut : ne collecter que le nécessaire, limiter les accès, prévoir la suppression, ne pas activer d'options intrusives sans choix explicite. Pour une TPE, cela revient à se poser les bonnes questions avant de lancer une newsletter ou d'installer une caméra, plutôt que de corriger après coup.
Voir aussi : Sécuriser les données personnelles au quotidien.
Pseudonymisation: Technique qui remplace les éléments directement identifiants par un code ou un identifiant, la table de correspondance étant conservée à part et protégée. Contrairement à l'anonymisation, elle est réversible : les données restent personnelles et soumises au règlement, mais le risque en cas de fuite est réduit. Elle est utile pour les statistiques internes, les tests ou les échanges avec un prestataire qui n'a pas besoin de connaître l'identité des personnes.
Registre des traitements: Document interne qui recense chaque traitement de données personnelles de l'entreprise : finalité, catégories de données et de personnes, base légale, durée de conservation, destinataires, sous-traitants, transferts et mesures de sécurité. C'est la pièce centrale de la conformité et la première que l'on vous demandera. Il se tient à jour au fil des changements d'activité et d'outils. L'estimateur de temps pour votre registre aide à planifier sa constitution.
Voir aussi : Le registre des traitements : le document central, Estimateur de temps pour votre registre.
Responsable de traitement: Personne ou organisme qui détermine les finalités et les moyens d'un traitement. Pour une TPE, c'est l'entreprise elle-même, représentée par son dirigeant, même lorsqu'elle confie l'exécution à des prestataires. Le responsable de traitement porte l'essentiel des obligations : informer les personnes, tenir le registre, répondre aux demandes, sécuriser les données, choisir des sous-traitants sérieux et notifier les violations. Son identité et ses coordonnées figurent dans la politique de confidentialité.
Voir aussi : RGPD pour les TPE : par où commencer, Sous-traitants et hébergeurs : la chaîne de responsabilité.
Sous-traitant: Prestataire qui traite des données personnelles pour le compte et sur instruction du responsable de traitement : hébergeur, outil d'emailing, logiciel de facturation en ligne, agence web, société de paie, expert-comptable pour certaines prestations. Le règlement impose un contrat ou des conditions écrites qui encadrent la protection des données, et le responsable de traitement reste comptable du choix de ses prestataires. Les vérifier et les lister au registre fait partie de la démarche.
Voir aussi : Sous-traitants et hébergeurs : la chaîne de responsabilité.
Traceur: Terme générique qui désigne tout dispositif permettant de suivre un visiteur : cookie, pixel invisible dans un mail ou une page, identifiant stocké dans le navigateur, empreinte technique de l'appareil. Les règles applicables aux cookies s'appliquent à l'ensemble des traceurs, quelle que soit la technique. Avant de mettre en place une bannière, on inventorie les traceurs présents sur le site, souvent plus nombreux que prévu à cause des contenus intégrés et des outils tiers.
Voir aussi : Cookies et consentement : ce qu'il faut savoir.
Traitement de données: Toute opération portant sur des données personnelles : collecte, enregistrement, consultation, modification, transmission, archivage, suppression. Dans le registre, on parle d'un traitement au sens d'une activité ayant une finalité propre : gestion des commandes, paie, prospection, recrutement, vidéosurveillance. Un traitement n'est pas un logiciel : le même outil peut servir plusieurs traitements, et un traitement peut mobiliser plusieurs outils. Raisonner par activité rend le registre lisible et durable.
Voir aussi : Le registre des traitements : le document central.
Transfert hors Union européenne: Situation dans laquelle des données personnelles sont stockées ou consultées depuis un pays extérieur à l'Union européenne, souvent sans que l'entreprise s'en aperçoive : outil d'emailing américain, hébergement sur des serveurs situés hors Europe, support technique délocalisé. Le transfert est possible s'il repose sur un cadre reconnu, comme une décision d'adéquation ou des clauses contractuelles types. Il doit être mentionné dans la politique de confidentialité et documenté au registre.
Voir aussi : Sous-traitants et hébergeurs : la chaîne de responsabilité.
Violation de données: Incident de sécurité qui entraîne la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles : ordinateur volé, fichier envoyé au mauvais destinataire, compte piraté, rançongiciel. Toute violation se documente dans un registre dédié. Lorsqu'elle présente un risque pour les personnes, elle se notifie à l'autorité de contrôle dans le court délai prévu par le règlement, et les personnes sont informées lorsque le risque est élevé.
Voir aussi : Réagir à une demande ou à une fuite de données, Sécuriser les données personnelles au quotidien.

Passer de la lecture à l'action

RGPDKit guide les TPE et les indépendants vers une mise en conformité RGPD claire: registre, politique de confidentialité et mentions légales.

Demander un accès Voir les ressources gratuites

Le glossaire de RGPDKit : 35 termes expliqués

Passer de la lecture à l'action