Lors de la quasi-totalité des audits que je réalise auprès de TPE et PME des Bouches-du-Rhône, le même constat revient : l’entreprise n’a aucune procédure écrite en matière de protection des données. Pas de registre des traitements, pas de politique de confidentialité à jour, pas de procédure pour répondre à une demande de suppression de données, pas de plan d’action en cas de piratage ou de fuite de données. Ce n’est presque jamais par négligence volontaire : c’est simplement que personne, en interne, n’a le temps ni les compétences juridiques pour rédiger correctement ces documents.
C’est exactement le problème que je résous avec la rédaction des procédures RGPD. Mon objectif n’est pas de vous livrer des modèles génériques copiés sur internet et mal adaptés à votre activité, mais de rédiger des documents qui correspondent réellement à votre fonctionnement, et que vous (et vos équipes) serez capables d’appliquer concrètement le jour où la situation se présentera.
Le RGPD ne se limite pas à des principes généraux de bonne gestion des données. Il impose la formalisation de certains documents et de certaines procédures, quelle que soit la taille de votre entreprise. Ne pas les avoir constitue, en soi, une non-conformité — indépendamment même du contenu de vos pratiques réelles.
Prenons un exemple simple : si un client vous demande la suppression de ses données personnelles (ce qui est un droit garanti par le RGPD), vous devez être en capacité de répondre dans un délai légal d’un mois. Sans procédure écrite, cette demande est souvent traitée dans l’urgence, de façon improvisée, avec un risque réel d’erreur ou de retard. Avec une procédure claire, votre équipe sait exactement quelles étapes suivre, quels systèmes vérifier, et quel modèle de réponse utiliser.
Le registre des traitements
C’est le document central de toute démarche RGPD, et il est obligatoire pour la quasi-totalité des entreprises, quelle que soit leur taille. Il recense l’ensemble des traitements de données personnelles effectués par votre entreprise : finalité de chaque traitement, catégories de données concernées, durée de conservation, mesures de sécurité associées, et destinataires éventuels des données. Beaucoup de PME des Bouches-du-Rhône n’ont jamais formalisé ce document, ou disposent d’un registre incomplet, rédigé une fois il y a plusieurs années et jamais mis à jour depuis.
La politique de confidentialité et les mentions légales
Ce document, généralement publié sur votre site internet, informe vos clients et prospects de la manière dont vous collectez et utilisez leurs données. Il doit être rédigé dans un langage compréhensible (et non dans un jargon juridique illisible), tout en couvrant l’ensemble des exigences légales : finalités de traitement, durées de conservation, droits des personnes, coordonnées de contact pour exercer ces droits.
La procédure de gestion des droits des personnes
Le RGPD garantit plusieurs droits aux personnes dont vous traitez les données : droit d’accès, droit de rectification, droit à l’effacement, droit à la portabilité, droit d’opposition. Cette procédure formalise, étape par étape, comment votre entreprise doit traiter ces demandes lorsqu’elles arrivent : qui les réceptionne, dans quel délai, quelles vérifications effectuer, et avec quel modèle de réponse.
La procédure de notification en cas de violation de données
En cas de piratage, de perte de données, ou de toute fuite de données personnelles, le RGPD impose un délai très strict de 72 heures pour notifier la CNIL si la violation présente un risque pour les personnes concernées. Sans procédure préétablie, ce délai est presque impossible à respecter dans l’urgence d’un incident réel. Cette procédure définit à l’avance qui doit être alerté en interne, comment évaluer la gravité de l’incident, et selon quelles étapes notifier la CNIL et, si nécessaire, les personnes concernées.
La charte informatique et bonnes pratiques pour les salariés
Ce document encadre l’utilisation des outils informatiques par vos salariés : usage de la messagerie professionnelle, gestion des mots de passe, utilisation d’appareils personnels, accès aux dossiers sensibles. Il s’agit à la fois d’un outil de sensibilisation et d’un document qui protège l’entreprise en cas d’incident lié à un mauvais usage des outils numériques.
Les contrats et clauses de sous-traitance RGPD
Tout prestataire ayant accès à vos données personnelles (hébergeur, logiciel de paie, agence marketing, prestataire informatique) doit être encadré par un contrat de sous-traitance conforme à l’article 28 du RGPD. Je peux rédiger ces clauses ou ces contrats, ou vérifier et compléter ceux proposés par vos prestataires, qui sont parfois incomplets ou mal adaptés à votre situation.
Pour illustrer concrètement l’intérêt de ces documents, prenons l’exemple d’un cabinet d’expertise comptable basé à Salon-de-Provence. Lors de l’audit, il est apparu qu’aucune procédure n’existait pour répondre à une demande de suppression de données formulée par un ancien client. La gestionnaire administrative du cabinet avait reçu une telle demande quelques mois auparavant et avait dû improviser une réponse, sans être certaine d’avoir respecté toutes les obligations légales (vérification de l’identité du demandeur, délai de réponse, conservation éventuelle de certaines données pour des obligations comptables légales).
J’ai rédigé pour ce cabinet une procédure simple en quatre étapes : vérification de l’identité du demandeur, vérification des obligations légales de conservation (les documents comptables doivent être conservés 10 ans, même en cas de demande de suppression), suppression effective des données non soumises à obligation de conservation, et envoi d’une réponse type au demandeur dans le délai légal d’un mois. Cette procédure, accompagnée d’un modèle de courrier de réponse, permet désormais au cabinet de traiter ce type de demande en moins de 30 minutes, sans incertitude juridique.
La grande différence entre une procédure rédigée sur-mesure et un modèle téléchargé en ligne réside dans l’adaptation à votre réalité de terrain. Un modèle générique de procédure de violation de données, par exemple, ne tiendra pas compte du fait que votre entreprise utilise tel logiciel spécifique, que votre serveur est géré par tel prestataire, ou que votre organisation interne implique telle personne en particulier pour ce type de décision.
Avant de rédiger chaque document, je prends le temps de comprendre votre organisation réelle : qui fait quoi dans votre entreprise, quels outils vous utilisez au quotidien, quelles sont vos contraintes spécifiques (taille de l’équipe, secteur d’activité, type de données traitées). Cette étape est indispensable pour produire des documents qui seront réellement appliqués, et non simplement archivés.
Pour une entreprise de transport de Miramas, par exemple, la procédure de gestion des droits a dû intégrer une spécificité particulière : les données de géolocalisation des véhicules, qui constituent une catégorie de données sensibles nécessitant des règles de conservation et d’accès différentes des données clients classiques. Un modèle générique n’aurait jamais pris en compte cette particularité métier.
1. Identification des documents nécessaires
Cette étape s’appuie directement sur le plan d’actions correctives établi précédemment, qui identifie quels documents manquent ou doivent être mis à jour dans votre entreprise.
2. Collecte d’informations sur votre organisation
Un échange (ou plusieurs, selon le nombre de documents à produire) permet de comprendre votre fonctionnement interne, vos outils, et vos contraintes spécifiques.
3. Rédaction des documents
Chaque document est rédigé individuellement, dans un langage clair et opérationnel, en évitant autant que possible le jargon juridique qui rendrait le document difficile à utiliser au quotidien par vos équipes.
4. Relecture et ajustements
Une fois rédigés, les documents vous sont soumis pour relecture. C’est une étape importante : vous connaissez votre activité mieux que personne, et certains ajustements sont parfois nécessaires pour que la procédure colle parfaitement à votre réalité de terrain.
5. Validation et mise en application
Une fois validés, les documents sont prêts à être appliqués. Pour certains d’entre eux (charte informatique, procédure de gestion des droits), une présentation à vos équipes peut être utile pour s’assurer de leur bonne compréhension et de leur application effective.
La rédaction des procédures ne constitue pas une étape isolée : elle s’inscrit directement dans le plan d’actions correctives et dans l’accompagnement général qui suit. Une fois les documents rédigés, il est important de vérifier, dans le temps, qu’ils sont réellement appliqués par vos équipes, et de les ajuster si votre activité évolue (nouveau logiciel, nouveau type de données traité, croissance de l’effectif).
C’est précisément l’objet de l’accompagnement général, qui permet d’assurer un suivi dans la durée, plutôt que de vous laisser seul avec des documents qui, sans suivi, risqueraient de connaître le même sort que les rapports d’audit jamais exploités : un classement dans un tiroir, sans application réelle.
Rédiger soi-même ces procédures, sans formation juridique spécifique, expose à deux risques principaux : produire des documents juridiquement incomplets (qui ne couvrent pas l’ensemble des exigences du RGPD), ou au contraire produire des documents trop complexes, calqués sur des modèles d’entreprises beaucoup plus grandes, qui ne seront jamais appliqués concrètement par une petite équipe.
Faire appel à un consultant RGPD basé dans les Bouches-du-Rhône, qui connaît les réalités des TPE et PME de la région, permet d’obtenir des documents à la fois juridiquement solides et concrètement applicables, adaptés à la taille réelle de votre structure, que vous soyez basé à Istres, Martigues, Fos-sur-Mer ou ailleurs dans le département.
Votre entreprise n’a aucune procédure RGPD formalisée, ou des documents obsolètes ?
Contactez-moi pour faire le point sur les documents qui vous manquent et démarrer leur rédaction, adaptée précisément à votre activité.
Oui. Le registre des traitements est obligatoire pour la quasi-totalité des entreprises, sans condition de seuil d’effectif, dès lors que vous traitez des données personnelles de façon régulière (ce qui est le cas pour la quasi-totalité des activités : gestion de clients, de salariés, de fournisseurs). Seules certaines exceptions très limitées existent pour les traitements occasionnels et sans risque, ce qui concerne très peu de TPE en pratique. Mieux vaut donc partir du principe que ce document vous concerne.
Cela dépend du nombre de documents nécessaires et de la complexité de votre activité. Pour une TPE avec des traitements simples, la rédaction des principaux documents (registre, politique de confidentialité, procédure de gestion des droits) peut être réalisée en une à deux semaines. Pour une PME avec des traitements plus variés (RH, sous-traitance multiple, données sensibles), il faut généralement compter trois à quatre semaines, en incluant les échanges nécessaires pour bien comprendre votre organisation.
Construire ce plan avec un consultant RGPD basé dans les Bouches-du-Rhône permet également d’avoir un regard extérieur sur la faisabilité réelle des échéances proposées, et d’ajuster le calendrier en fonction des spécificités de votre secteur d’activité et de votre organisation.
C’est possible, mais risqué. Les modèles génériques ne tiennent pas compte de votre activité réelle, de vos outils spécifiques, ni de votre organisation interne. Ils donnent souvent une fausse impression de conformité, alors que le document ne correspond pas à votre fonctionnement réel — ce qui peut se retourner contre vous en cas de contrôle, puisqu’une procédure inapplicable ou inexacte n’a pas plus de valeur qu’une absence de procédure.
Non, la CNIL ne valide pas individuellement les documents de chaque entreprise. Vous êtes responsable de la conformité de vos propres procédures. C’est en cas de contrôle ou de plainte que ces documents seront examinés, pour vérifier qu’ils existent, qu’ils sont à jour, et surtout qu’ils sont réellement appliqués au sein de votre entreprise.
L’absence de documents obligatoires (registre des traitements notamment) constitue en elle-même une non-conformité, indépendamment de vos pratiques réelles. Elle peut être sanctionnée, et elle est souvent perçue par la CNIL comme un signal d’absence de démarche RGPD sérieuse, ce qui peut aggraver les conséquences en cas de contrôle. À l’inverse, disposer de documents à jour, même si tout n’est pas parfait, démontre une volonté de conformité qui est généralement prise en compte favorablement.
