Comment appliquer le RGPD dans les situations du quotidien ?

Cette rubrique traite des situations que les guides de fond ne peuvent pas toujours détailler : vendre son entreprise avec son fichier clients, organiser le télétravail, choisir un prestataire informatique ou un secrétariat externalisé, publier des photos d'équipe, auditer son système d'information. Chaque article part d'un cas réel, rappelle les règles applicables et propose une marche à suivre.

Ce que vous trouverez dans cette rubrique

Les articles de cette rubrique répondent aux questions que se posent concrètement les dirigeants, les responsables administratifs, les référents et les délégués à la protection des données lorsqu'ils appliquent le RGPD au quotidien. Comment tenir un registre simple dans une petite entreprise ? Peut-on gérer ses clients dans un tableur ? Faut-il interdire WhatsApp aux équipes ? Que répondre à un salarié qui demande ses données ? Comment organiser la suppression d'un compte client ? Que mettre dans le contrat d'un prestataire ? Comment archiver, détruire des documents papier, gérer le départ d'un salarié, encadrer un badge d'accès, une géolocalisation ou l'enregistrement des appels ? Chaque article part d'une situation réelle, rappelle les règles applicables avec leurs références, et propose une méthode, des modèles ou une liste de vérifications.

Une méthode commune à tous les articles

Chaque cas pratique suit la même progression, pour que le lecteur retrouve rapidement l'information utile. L'article commence par décrire la situation et les questions qu'elle soulève. Il identifie ensuite les règles applicables : principes de l'article 5, base légale, information, durée de conservation, sécurité, droits des personnes, contrats avec les prestataires, et le cas échéant textes sectoriels comme le Code du travail. Il propose enfin une marche à suivre concrète, souvent illustrée par un schéma ou un tableau, et signale les erreurs fréquentes relevées par la CNIL. Les références sont vérifiées à la date de publication et mises à jour lorsque les règles évoluent.

Pourquoi des cas pratiques ?

Le RGPD est un texte de principes, volontairement général pour s'appliquer à toutes les situations, de la boulangerie de quartier à la plateforme internationale. Cette généralité est une force, car elle permet d'adapter les règles à chaque contexte, mais elle laisse souvent les praticiens perplexes face à une question précise. Le règlement ne dit pas combien de temps garder un enregistrement d'appel, s'il faut un contrat avec son expert-comptable ou comment répondre à un ancien salarié qui demande tous ses courriels. Les réponses se trouvent dans la combinaison des articles, des lignes directrices européennes, des recommandations et référentiels de la CNIL, de la jurisprudence et du bon sens. Les cas pratiques font ce travail de synthèse pour des situations fréquentes, afin que chacun puisse agir avec confiance.

Les situations les plus fréquentes dans les petites structures

Les retours des dirigeants et des référents montrent que certaines questions reviennent sans cesse. La tenue du registre arrive en tête : beaucoup ignorent par où commencer et craignent un exercice trop lourd, alors qu'une dizaine de fiches simples suffit souvent. Viennent ensuite les outils du quotidien, comme les tableurs, les messageries gratuites et les applications de messagerie instantanée, dont l'usage professionnel pose des questions de sécurité et de transferts. Les relations avec les salariés suscitent aussi de nombreuses interrogations : demandes d'accès, départs, badges, géolocalisation, enregistrement des appels. Enfin, la relation avec les prestataires, et notamment le contenu des contrats, reste un point faible de nombreuses structures. La rubrique traite chacune de ces situations dans un article dédié.

Des réponses proportionnées

Les articles de cette rubrique cherchent toujours la réponse proportionnée. Le RGPD n'exige pas d'une entreprise de cinq personnes les mêmes moyens que d'un grand groupe, mais il exige le respect des mêmes principes. Une petite structure n'a pas besoin d'un logiciel de conformité coûteux pour tenir son registre, mais elle doit savoir quelles données elle traite. Elle n'a pas besoin d'un audit de sécurité annuel par un cabinet spécialisé, mais elle doit protéger ses comptes par des mots de passe robustes et la double authentification. Elle n'a pas besoin d'un délégué à la protection des données, sauf exception, mais elle gagne à désigner un référent. Les articles distinguent clairement ce qui est obligatoire, ce qui est recommandé et ce qui relève des bonnes pratiques.

Les outils proposés dans les articles

Pour faciliter le passage à l'action, de nombreux articles proposent des outils directement utilisables : exemples de fiches de registre, modèles de réponse à une demande d'accès, clauses types pour un contrat de prestataire, procédures pour la suppression d'un compte ou le départ d'un salarié, listes de vérification pour l'archivage ou la destruction des documents. Ces outils sont rédigés en langage clair et peuvent être adaptés à chaque organisme. Ils s'appuient sur les modèles publiés par la CNIL lorsqu'ils existent, et sur les pratiques observées dans les structures qui ont mené une démarche de conformité réussie.

Les liens avec les guides de fond

Les cas pratiques complètent les guides de fond du site, qui exposent les règles de manière systématique. Un article sur la géolocalisation des véhicules renvoie au guide consacré au RGPD dans les ressources humaines pour le cadre général ; un article sur le registre d'une petite entreprise s'appuie sur le guide du registre des traitements ; un article sur la réponse à une demande d'accès renvoie au guide du droit d'accès. Cette organisation permet de lire un cas pratique de manière autonome, tout en ayant accès au cadre complet lorsqu'il faut approfondir une notion.

Des articles mis à jour

Le droit de la protection des données évolue régulièrement : nouvelles recommandations de la CNIL, nouvelles décisions de justice, nouveaux textes européens. Les cas pratiques sont relus et mis à jour lorsque ces évolutions modifient les réponses. La date de dernière mise à jour figure en tête de chaque article. Les règles en cours de discussion, comme les simplifications envisagées pour les petites entreprises dans le cadre des paquets européens dits « Omnibus », sont présentées comme telles, sans anticiper leur adoption, afin que les lecteurs ne prennent pas de décisions fondées sur des règles qui ne sont pas encore applicables.

À qui s'adressent ces articles ?

Les cas pratiques s'adressent d'abord aux dirigeants de TPE et de PME, aux responsables administratifs et financiers, aux assistants de direction et aux responsables des ressources humaines, qui gèrent souvent la conformité en plus de leurs autres missions. Ils intéressent aussi les référents et les délégués à la protection des données, qui y trouvent des réponses argumentées à partager avec les services. Les responsables associatifs et les secrétaires de mairie y trouvent des situations transposables à leurs structures. Enfin, les prestataires, comme les informaticiens, les experts-comptables ou les secrétariats externalisés, y trouvent les attentes de leurs clients en matière de protection des données.

Les erreurs que la rubrique aide à éviter

Les contrôles de la CNIL et les plaintes reçues révèlent des erreurs récurrentes dans les petites structures, que les cas pratiques aident à éviter. Conserver indéfiniment les fichiers clients et les CV. Partager un même identifiant entre plusieurs salariés. Laisser actif le compte de messagerie d'un salarié parti depuis des mois. Ignorer une demande d'accès ou y répondre de façon incomplète. Utiliser un outil gratuit sans vérifier où vont les données. Signer avec un prestataire sans clause de sous-traitance. Filmer en permanence le poste d'un salarié. Jeter des documents contenant des données personnelles dans une poubelle ordinaire. Chacune de ces erreurs peut entraîner une plainte, un contrôle ou une violation de données, alors qu'elle se corrige en quelques gestes simples.

Proposer un sujet

Les sujets traités dans cette rubrique sont choisis à partir des questions les plus fréquentes et de l'actualité de la protection des données. Si une situation que vous rencontrez n'est pas encore traitée, le moteur de recherche du site permet de vérifier si un guide ou un article y répond déjà, en tout ou partie. Les questions récurrentes sont progressivement intégrées au programme de publication, qui suit un rythme régulier tout au long de l'année.

Les outils du quotidien

Une grande partie des questions pratiques concerne les outils numériques utilisés chaque jour. Un fichier clients dans un tableur est parfaitement admissible, à condition de protéger le fichier par un mot de passe, de limiter son partage, de supprimer les lignes devenues inutiles et de ne pas y noter d'appréciations déplacées. Les messageries instantanées grand public, souvent utilisées pour échanger rapidement avec des clients ou entre collègues, synchronisent les carnets d'adresses et peuvent héberger les échanges hors de l'Union, ce qui appelle des précautions. Les messageries électroniques gratuites peuvent convenir à condition de vérifier les conditions d'utilisation et l'absence d'exploitation publicitaire. Les articles de la rubrique proposent pour chaque outil des règles d'usage simples, compatibles avec les contraintes d'une petite structure.

Les salariés au cœur des questions pratiques

Les relations avec les salariés soulèvent une part importante des questions pratiques. Que répondre lorsqu'un salarié demande une copie de toutes ses données, y compris ses courriels ? Comment fermer la messagerie d'un salarié qui quitte l'entreprise sans perdre les échanges professionnels ? Un badge d'accès peut-il servir à contrôler les horaires ? La géolocalisation des véhicules est-elle autorisée pour suivre les tournées ? Peut-on enregistrer les appels du service client pour former les conseillers ? Les articles consacrés à ces sujets rappellent les règles du RGPD et du Code du travail, les recommandations de la CNIL, les obligations d'information et de consultation du comité social et économique, ainsi que les durées de conservation applicables.

Les réseaux, franchises et groupes

Les réseaux de franchise et les groupes de sociétés posent des questions de répartition des responsabilités. Dans une franchise, le franchiseur fournit souvent les outils, comme le logiciel de caisse, le site internet ou le programme de fidélité, tandis que chaque franchisé gère sa propre clientèle. Selon les cas, le franchiseur peut être sous-traitant, coresponsable ou responsable distinct, et ces rôles doivent être clarifiés dans le contrat de franchise. Dans un groupe de sociétés, chaque entité est un responsable de traitement distinct, et les échanges de données entre filiales doivent être encadrés, même s'ils sont facilités par l'intérêt légitime reconnu par le considérant 48 pour les transmissions à des fins administratives internes. Les articles de la rubrique proposent des schémas de répartition des rôles adaptés à ces organisations.

Le budget de la conformité

Combien coûte la mise en conformité ? La question revient souvent chez les dirigeants de petites structures. La réponse dépend de la taille, de l'activité et du point de départ, mais l'essentiel des mesures repose sur du temps interne plutôt que sur des dépenses : recenser les traitements, rédiger les mentions, trier les données, signer les avenants avec les prestataires. Les dépenses éventuelles concernent un accompagnement externe ponctuel, un délégué mutualisé ou externalisé, des outils de sécurité comme un gestionnaire de mots de passe ou une solution de sauvegarde, une plateforme de gestion du consentement pour le site. L'article consacré au budget propose des ordres de grandeur réalistes et une méthode pour prioriser les dépenses selon les risques.

Archiver et détruire

La fin de vie des données est un sujet souvent négligé. L'archivage intermédiaire permet de conserver, dans un espace séparé et à l'accès restreint, les données qui ne sont plus utilisées au quotidien mais doivent être gardées pour une obligation légale ou un contentieux éventuel, comme les factures pendant dix ans. La destruction doit être sécurisée : suppression effective des fichiers numériques, y compris dans les sauvegardes à leur échéance, broyage des documents papier ou recours à un prestataire spécialisé qui délivre un certificat de destruction. Les supports informatiques en fin de vie, comme les disques durs, les ordinateurs ou les copieurs, doivent être effacés de manière sécurisée ou détruits avant d'être recyclés ou revendus. Les articles de la rubrique proposent une procédure simple pour organiser ces opérations chaque année.

Le référent RGPD dans une PME

La plupart des PME ne sont pas tenues de désigner un délégué à la protection des données, mais elles ont tout intérêt à confier le suivi du sujet à une personne identifiée, souvent appelée référent. Ce référent, qui peut être un assistant de direction, un responsable administratif ou un membre de l'équipe informatique, tient le registre, centralise les demandes de droits, veille à l'information des personnes, suit les contrats avec les prestataires et alerte la direction en cas d'incident. Il n'a pas besoin d'être juriste, mais doit être formé, disposer de temps et pouvoir s'appuyer sur la direction et, si nécessaire, sur un conseil externe. L'article consacré au référent décrit ses missions, le temps à prévoir et les ressources disponibles pour le former.

Sensibiliser les équipes

La sensibilisation des salariés est l'un des leviers les plus efficaces et les moins coûteux de la conformité. La plupart des incidents trouvent leur origine dans une erreur humaine ou une méconnaissance des règles, et quelques heures de sensibilisation par an suffisent souvent à changer les comportements. Une session efficace part de situations concrètes tirées de l'activité de l'entreprise, présente les règles essentielles en langage simple, propose des exercices comme un quiz ou une simulation d'hameçonnage, et se termine par quelques réflexes à retenir. L'article consacré à la sensibilisation propose un déroulé type et des supports adaptés aux différents métiers.

Créer son entreprise en intégrant le RGPD

La création d'une entreprise est le meilleur moment pour intégrer la protection des données, car tout est à construire. Dès les premières semaines, le créateur peut choisir des outils hébergés dans l'Union et proposant un accord de traitement des données, rédiger les mentions d'information de son site et de ses formulaires, ouvrir un registre simple, activer la double authentification sur ses comptes et définir ses durées de conservation. Ces quelques gestes, pris dès le départ, évitent une mise en conformité coûteuse plus tard et rassurent les premiers clients. L'article consacré à la création d'entreprise propose une liste de vérification adaptée aux premiers mois d'activité.

Un rythme de publication régulier

De nouveaux cas pratiques sont publiés chaque semaine, du lundi au vendredi selon le calendrier éditorial, afin de couvrir progressivement l'ensemble des situations rencontrées par les entreprises, les associations et les collectivités. Chaque article est daté, relu et rattaché aux guides de fond correspondants, pour que le lecteur puisse passer du cas concret à la règle générale. Les sujets sont choisis à partir des questions les plus fréquentes des dirigeants, des référents et des délégués à la protection des données.