Comment appliquer le RGPD dans votre métier ?

Le RGPD s'applique à toutes les activités, mais chaque métier le rencontre à sa manière. Un avocat protège le secret de ses clients, un restaurateur gère des réservations et des avis en ligne, une agence immobilière collecte des dossiers de candidats locataires, une pharmacie traite des données de santé, une mairie tient l'état civil et les listes électorales. Cette rubrique décline les règles du règlement pour une vingtaine de professions, en tenant compte des textes propres à chacune et des recommandations sectorielles de la CNIL.

Ce que vous trouverez dans cette rubrique

Chaque article est consacré à un métier ou à un type d'organisme : professions juridiques et du chiffre, immobilier et copropriété, hôtellerie et restauration, commerce de détail et commerce en ligne, artisans du bâtiment, auto-écoles, salles de sport, organismes de formation, crèches, collectivités, pharmacies, psychologues, cabinets dentaires, conciergeries de location courte durée, comités sociaux et économiques. Pour chacun, l'article recense les traitements typiques, les données sensibles éventuelles, les durées de conservation applicables, les obligations spécifiques issues des textes du secteur et les erreurs les plus fréquentes, avec une liste d'actions prioritaires.

Pourquoi une approche par métier ?

Les règles générales du RGPD prennent un sens très différent selon l'activité. La durée de conservation d'un dossier client n'est pas la même pour un notaire, tenu par des obligations de très longue durée, et pour un restaurant, qui n'a guère de raison de garder les coordonnées d'un client au-delà de quelques années. Les données de santé sont au cœur de l'activité d'un cabinet dentaire, alors qu'elles sont exceptionnelles dans une agence immobilière. Le secret professionnel renforce les obligations des avocats et des psychologues. Les collectivités sont soumises à des textes spécifiques sur l'état civil, les listes électorales ou l'action sociale. Une approche par métier permet de traduire les principes généraux en règles concrètes, adaptées aux réalités de chaque profession.

Les points communs à tous les métiers

Malgré leur diversité, toutes les activités partagent un socle commun d'obligations. Chaque organisme doit savoir quelles données il traite et pourquoi, ce qui passe par un registre. Il doit informer ses clients, patients, usagers ou adhérents, au moment de la collecte, par une mention claire. Il doit fixer des durées de conservation et les appliquer. Il doit sécuriser les données, notamment par des comptes individuels, des mots de passe robustes, la double authentification et des sauvegardes. Il doit encadrer ses prestataires par des contrats conformes. Il doit répondre aux demandes de droits dans le délai d'un mois. Les articles de cette rubrique rappellent ce socle, puis se concentrent sur ce qui est propre à chaque métier.

Les textes sectoriels à connaître

De nombreux métiers sont soumis à des textes qui complètent le RGPD. Les agences immobilières doivent respecter le décret de 2015 qui fixe la liste limitative des pièces pouvant être demandées à un candidat locataire. Les hôteliers doivent faire remplir une fiche individuelle de police par les clients de nationalité étrangère, en application du Code de l'entrée et du séjour des étrangers. Les professionnels de santé sont soumis au secret médical et aux règles d'hébergement des données de santé. Les organismes de formation doivent conserver certains documents pour justifier des actions financées. Les auto-écoles utilisent des outils de l'administration pour l'inscription aux examens. Les articles identifient ces textes et expliquent comment ils s'articulent avec le RGPD.

Les référentiels de la CNIL par secteur

La CNIL a publié des référentiels et des guides pour de nombreux secteurs : gestion locative, cabinets médicaux et paramédicaux, gestion commerciale, gestion du personnel, associations, collectivités, établissements scolaires, organismes de formation. Ces documents précisent les finalités admises, les données pouvant être collectées, les destinataires et les durées de conservation. Ils ne sont pas obligatoires, mais un organisme qui s'en écarte doit pouvoir le justifier. Les articles de la rubrique s'appuient sur ces référentiels et en présentent les points essentiels, afin que chaque professionnel puisse s'y conformer sans lire l'intégralité des documents.

Les professions soumises au secret

Les avocats, les experts-comptables, les professionnels de santé, les psychologues, les notaires et bien d'autres sont soumis à un secret professionnel, souvent sanctionné pénalement. Ce secret renforce les exigences de confidentialité du RGPD et justifie des mesures de sécurité élevées : chiffrement des postes et des échanges, accès restreints, messageries sécurisées, vigilance sur les outils en ligne et leur localisation. Il peut aussi limiter certains droits des personnes, par exemple lorsque la communication d'une information porterait atteinte au secret dû à un tiers. Les articles consacrés à ces professions expliquent comment concilier secret professionnel et obligations du RGPD.

Les métiers en contact avec des personnes vulnérables

Les crèches, les établissements accueillant des personnes âgées, les services d'aide à domicile, les psychologues ou les organismes d'action sociale traitent des données de personnes vulnérables, qui appellent une protection renforcée. Le traitement de données concernant des personnes vulnérables figure parmi les critères de risque élevé qui peuvent imposer une analyse d'impact. Les informations doivent être adaptées, l'accès aux données strictement limité, et les échanges avec les familles ou les autres professionnels encadrés. Les articles concernés détaillent ces précautions, en tenant compte des textes propres à chaque secteur, comme le Code de l'action sociale et des familles.

Les métiers du numérique et du commerce en ligne

Les commerçants en ligne, les conciergeries qui gèrent des locations de courte durée par l'intermédiaire de plateformes et les entreprises qui vivent de leur site internet sont confrontés à des questions spécifiques : cookies, mesure d'audience, prospection électronique, paiement en ligne, avis clients, transferts de données vers des prestataires étrangers. Ils doivent aussi respecter le Code de la consommation et les règles propres aux plateformes. Les articles qui leur sont consacrés rassemblent ces règles et proposent des listes de vérification adaptées à leur activité.

Un article par métier, mis à jour

Chaque article de la rubrique est daté et mis à jour lorsque les règles du secteur évoluent, par exemple à la suite d'une nouvelle recommandation de la CNIL, d'une modification des textes sectoriels ou d'une décision de sanction visant la profession. Les métiers sont choisis en fonction des questions les plus fréquentes et des secteurs qui font l'objet d'une attention particulière de la CNIL. Si votre métier n'est pas encore traité, les guides de la rubrique « Secteurs » et le moteur de recherche permettent de trouver les règles applicables à des activités voisines.

Les erreurs fréquentes, métier par métier

Chaque profession a ses erreurs typiques. Les agences immobilières demandent souvent plus de pièces que la liste autorisée aux candidats locataires et conservent les dossiers des candidats non retenus. Les restaurants et les commerces installent des caméras qui filment en permanence la caisse et les salariés. Les cabinets médicaux échangent des données de patients par messagerie non sécurisée. Les mairies publient en ligne des délibérations contenant des données personnelles superflues. Les salles de sport conservent les données des anciens adhérents pendant des années. Les artisans laissent des fiches clients avec codes d'accès dans leurs véhicules. Les articles signalent ces erreurs et indiquent comment les corriger simplement.

Les CSE et les représentants du personnel

Le comité social et économique est un responsable de traitement distinct de l'employeur pour les traitements qu'il met en œuvre, comme la gestion des activités sociales et culturelles, des aides et des communications aux salariés. Il doit donc tenir son propre registre, informer les salariés, sécuriser les données et encadrer ses prestataires, comme les plateformes de billetterie ou de chèques cadeaux. Les élus doivent veiller à la confidentialité des informations qu'ils reçoivent, notamment dans la base de données économiques, sociales et environnementales. L'article consacré aux CSE détaille ces obligations, souvent méconnues des élus.

L'immobilier et la gestion locative

Les professionnels de l'immobilier traitent de nombreuses données : candidats acquéreurs et locataires, propriétaires, copropriétaires, occupants. La sélection des candidats locataires est strictement encadrée par le décret du 5 novembre 2015, qui fixe la liste limitative des pièces pouvant être demandées : pièce d'identité, justificatif de domicile, justificatifs d'activité professionnelle et de ressources. Il est interdit d'exiger un relevé de compte bancaire, une attestation de bonne tenue de compte, un extrait de casier judiciaire, une photo d'identité ou une copie de la carte vitale. Les dossiers des candidats non retenus doivent être restitués ou détruits. Les syndics de copropriété gèrent les données des copropriétaires et doivent veiller à ne pas diffuser d'informations personnelles inutiles, par exemple dans les procès-verbaux d'assemblée générale ou sur l'extranet. La CNIL a sanctionné plusieurs agences pour des collectes excessives ou des défauts de sécurité exposant les documents de candidats.

L'hôtellerie et la restauration

Les hôtels et restaurants collectent des données lors des réservations, du séjour et de la fidélisation. Les hôtels doivent faire remplir une fiche individuelle de police par les clients étrangers, qui est conservée six mois et communiquée aux services de police sur demande. Les plateformes de réservation sont souvent responsables de leurs propres traitements, ce qui impose de clarifier les rôles. Les restaurants utilisent des outils de réservation en ligne, des programmes de fidélité et des systèmes de caisse qui conservent les historiques. Les avis en ligne et la vidéosurveillance sont deux autres sujets sensibles. Les articles consacrés à ces métiers détaillent les durées de conservation, les règles de prospection des clients et les précautions à prendre avec les outils tiers.

Les collectivités territoriales

Les communes, quelle que soit leur taille, traitent des données nombreuses et parfois sensibles : état civil, listes électorales, urbanisme, action sociale, cantine et périscolaire, cimetière, police municipale, vidéoprotection, ressources humaines. Elles doivent obligatoirement désigner un délégué à la protection des données, souvent mutualisé au niveau d'un centre de gestion ou d'une intercommunalité. Les publications, comme les délibérations ou le bulletin municipal, doivent éviter la diffusion de données personnelles superflues. La sécurité des systèmes d'information est un enjeu majeur, plusieurs collectivités ayant été paralysées par des cyberattaques. L'article consacré aux mairies propose une feuille de route adaptée aux petites communes.

Les professions de santé et du soin

Les pharmacies, les cabinets dentaires, les psychologues et les autres professionnels de santé traitent des données de santé, soumises à un régime renforcé. Ils doivent informer leurs patients, sécuriser les dossiers, recourir à des hébergeurs certifiés pour les logiciels en ligne, utiliser des messageries sécurisées pour les échanges et respecter les durées de conservation des dossiers médicaux. Les psychologues, dont les notes contiennent des informations particulièrement intimes, doivent redoubler de vigilance sur la confidentialité et les outils de téléconsultation. Les pharmacies gèrent le dossier pharmaceutique, la vaccination et, le cas échéant, la vente en ligne. Les articles consacrés à ces professions s'appuient sur le référentiel de la CNIL pour les cabinets médicaux et paramédicaux.

Les conciergeries et la location de courte durée

Les conciergeries qui gèrent des locations de courte durée pour le compte de propriétaires traitent les données des voyageurs, des propriétaires et de leurs prestataires de ménage ou de maintenance. Elles doivent clarifier leur rôle vis-à-vis des propriétaires et des plateformes de réservation, encadrer les outils de gestion et de communication avec les voyageurs, respecter les obligations de déclaration des voyageurs étrangers lorsqu'elles s'appliquent, et sécuriser les codes d'accès et les informations sur les logements. Les serrures connectées et les dispositifs de surveillance doivent respecter la vie privée des voyageurs : les caméras sont interdites à l'intérieur des logements et doivent être signalées à l'extérieur. L'article consacré à ces activités détaille ces obligations.

Les organismes de formation et les crèches

Les organismes de formation traitent les données des stagiaires, des formateurs et des financeurs, et doivent conserver certains documents pour justifier des actions de formation financées, notamment dans le cadre de la certification qualité. Les plateformes de formation à distance collectent des données de connexion et de progression qui doivent être utilisées de façon proportionnée. Les crèches et structures de petite enfance traitent des données d'enfants et de leurs familles, parfois des informations de santé comme les allergies ou les traitements, et doivent recueillir les autorisations des parents pour les photos et les sorties. Les applications de liaison avec les familles, de plus en plus utilisées, doivent être choisies avec soin et paramétrées pour limiter les informations partagées.

Le commerce de détail et l'artisanat

Les commerces de proximité et les artisans gèrent des fichiers clients, des programmes de fidélité, des devis et des factures, parfois des caméras de surveillance et un site internet. Leurs obligations sont proportionnées à leur taille, mais réelles : informer les clients lors de la collecte, limiter les données demandées, ne pas conserver indéfiniment les fiches, sécuriser le logiciel de caisse et la messagerie, encadrer les prestataires. Les artisans du bâtiment, qui interviennent chez leurs clients, doivent en outre protéger les informations sur les logements, comme les codes d'accès ou les horaires d'absence. Les articles consacrés à ces métiers proposent des listes d'actions réalistes, réalisables sans budget important.

Les avocats et les experts-comptables

Les avocats et les experts-comptables traitent des informations particulièrement confidentielles, couvertes par le secret professionnel. Ils sont généralement responsables de traitement pour les données de leurs clients, dans le cadre de leurs missions encadrées par leur déontologie, mais peuvent agir comme sous-traitants pour certaines prestations, comme la paie. Ils doivent sécuriser les échanges de documents, privilégier des plateformes chiffrées plutôt que la messagerie ordinaire, appliquer les durées de conservation compatibles avec leurs obligations professionnelles et leur responsabilité, et clarifier les rôles dans leurs lettres de mission. Les instances ordinales ont publié des guides pour accompagner les professionnels.

Les salles de sport et les auto-écoles

Les salles de sport gèrent les abonnements, le contrôle d'accès, parfois des données de santé comme un certificat médical ou des objectifs de remise en forme, et des données issues d'équipements connectés. Elles doivent éviter les dispositifs biométriques disproportionnés, comme la reconnaissance faciale à l'entrée, et supprimer les données des anciens adhérents après une durée raisonnable. Les auto-écoles traitent les données des élèves, y compris des mineurs, leurs résultats et leurs dossiers d'inscription aux examens, et utilisent souvent des applications de réservation des leçons. Les articles consacrés à ces métiers précisent les règles applicables et les erreurs à éviter.

Une feuille de route par métier

Chaque article se termine par une feuille de route en quelques actions prioritaires, adaptées à la taille habituelle des structures du métier, pour passer rapidement de la lecture à la mise en œuvre. Ces actions s'appuient sur les référentiels sectoriels de la CNIL lorsqu'ils existent, et renvoient aux guides de fond pour les points plus techniques.