Protection des données personnelles (RGPD) : protéger les données, c'est aussi protéger votre entreprise

À noter que le coût d’une mise en sécurité efficace sera toujours inférieur au préjudice subi en cas de cyberattaque !

Face à la complexité du RGPD, certaines entreprises – notamment les TPE/PME – risquent de ne pas être entièrement en conformité d’ici au 25 mai prochain (date d’entrée en vigueur du texte). Si c’est votre cas, pas de panique !

La CNIL est consciente de la situation et s’est engagée à accompagner les entreprises « avec bienveillance » au cours des mois à venir.

Mais pour bénéficier de cette mansuétude, il faudra démontrer qu’une démarche de mise en conformité est en cours au sein de l’entreprise et que les principes élémentaires du droit des données personnelles (notamment la sécurité des données et l’information suffisante des personnes concernées) sont déjà respectés.

Les actions prioritaires pour votre entreprise d’ici au 25 mai

1. Identifier les traitements ayant lieu au sein de votre entreprise, leurs modalités et les personnes impliquées (employés, prestataires externes…).
   La FFB a dressé une liste des traitements les plus courants.
   Elle est disponible auprès de votre fédération.
2. Mettre en place une politique de sécurisation des données
   (cf. paragraphes précédents).
3. Informer les personnes concernées (clients, prospects, salariés…) des modalités du traitement et des conditions d’exercice de leurs droits (accès, rectification, suppression…)⁵.
   La FFB propose divers modèles de clauses et de messages d’information. Ils sont disponibles auprès de votre fédération.

Les autres actions de conformité à mettre en place dès que possible

1. Élaborer un registre des traitements réalisés au sein de votre entreprise⁶.
   La FFB a contacté la CNIL pour demander que les TPE/PME soit exemptées de tenir un registre (le champ d’application du RGPD manquant de clarté sur le sujet). En attendant, des modèles préremplis de registres seront prochainement disponibles auprès de votre fédération.
2. Réaliser, quand c’est nécessaire, des analyses d’impact des traitements les plus risqués⁷.
   La FFB a contacté la CNIL pour l’inciter à clarifier son champ d’application et d’en exempter, autant que possible, les entreprises.
3. Mettre à jour les contrats avec vos prestataires externes (experts-comptables, avocats, prestataires informatiques, sous-traitants, etc.).
   Les modèles de clauses CNIL sont disponibles en ligne⁸. La FFB va lancer une réflexion sur l’application de cette obligation aux contrats types du bâtiment.
4. Désigner, quand nécessaire, un délégué à la protection des données
   Cette obligation manque sérieusement de clarté. La FFB a contacté la CNIL pour clarifier cette question.