Votre entreprise conserve des coordonnées clients, des dossiers salariés ou des devis ? Le RGPD vous concerne. Voici les actions informatiques à examiner, sans transformer votre TPE en service juridique.

Le règlement général sur la protection des données, ou RGPD, s’applique aux données qui permettent d’identifier une personne, directement ou indirectement. Pour une petite entreprise, l’essentiel est de savoir quelles données elle utilise, qui peut y accéder et comment elle les protège. L’informatique joue un rôle central, mais elle ne règle pas à elle seule toutes les obligations : les informations données aux personnes et les durées de conservation doivent aussi être examinées.

Commencez par recenser vos traitements dans un registre

Un traitement, c’est une opération réalisée sur des données personnelles : collecter des coordonnées, enregistrer une facture ou gérer des candidatures, par exemple. Le registre des traitements décrit ces usages. Il ne s’agit pas d’établir la liste de chaque fichier, mais de comprendre à quoi servent les données et où elles circulent. Certaines petites structures bénéficient d’aménagements, sans être automatiquement dispensées de tenir un registre pour leurs traitements courants.

Partez de vos activités habituelles et notez, pour chacune :

Objectif : pourquoi vous utilisez ces données, par exemple pour suivre les clients ou établir les paies.
Données et personnes : quelles informations sont concernées et à qui elles se rapportent.
Accès et destinataires : quels salariés, prestataires ou organismes reçoivent ces informations.
Stockage et conservation : où se trouvent les données et combien de temps vous prévoyez de les garder.
Protection : quelles mesures limitent les accès non autorisés, les pertes et les erreurs.

Un tableau tenu à jour est plus utile qu’un document complexe oublié après sa création. La CNIL propose des ressources pour vous aider à structurer ce travail.

Sécurisez les données là où elles sont réellement utilisées

Le RGPD demande des mesures de sécurité adaptées aux risques. Pour une TPE, cela commence par les postes de travail, la messagerie, les espaces de stockage et les applications métier. Un dossier client bien protégé sur le serveur ne l’est plus si une copie reste accessible à tous dans une boîte mail partagée.

Faites un premier tour de contrôle avec ces questions :

Équipements : les ordinateurs et logiciels reçoivent-ils encore leurs mises à jour de sécurité ?
Comptes : chaque personne dispose-t-elle de son propre accès, protégé par un mot de passe solide et, quand c’est possible, par une double authentification ?
Partage : les dossiers contenant des données personnelles sont-ils réservés aux personnes qui en ont besoin ?
Déplacements : les ordinateurs portables et les supports amovibles sont-ils protégés contre une perte ou un vol ?

Ces vérifications peuvent être intégrées à un diagnostic de sécurité informatique de l’entreprise. Elles doivent ensuite être revues lorsque vos outils ou votre organisation changent.

Prévoyez des sauvegardes que vous savez restaurer

Une suppression accidentelle, une panne ou une attaque peut rendre des données personnelles indisponibles. Les sauvegardes servent à retrouver une version exploitable. Mais copier des fichiers ne suffit pas : il faut aussi pouvoir les récupérer sans exposer davantage les informations.

Périmètre : incluez les données utiles au travail, qu’elles soient sur un ordinateur, un serveur, une application ou dans le cloud.
Protection : limitez l’accès aux sauvegardes et évitez qu’un incident sur le système principal les détruise aussi.
Essai : testez la restauration d’un fichier ou d’un dossier pour vérifier que la sauvegarde est exploitable.
Durée : définissez la conservation des copies selon vos besoins, sans garder indéfiniment des données personnelles devenues inutiles.

Le sujet mérite une attention particulière si vous travaillez dans Microsoft 365 : synchronisation et sauvegarde ne rendent pas le même service. Documentez aussi qui peut lancer une restauration et dans quelles circonstances.

Donnez les bons droits d’accès, puis retirez-les au bon moment

Un salarié doit pouvoir consulter les informations nécessaires à sa mission, pas l’ensemble des données de l’entreprise par défaut. Cette règle réduit les erreurs et les consultations injustifiées. Elle facilite aussi le suivi d’un incident, puisque chacun utilise son propre compte.

Classez les accès par fonction : comptabilité, relation client, ressources humaines ou direction. Vérifiez ensuite les dossiers partagés, les boîtes mail communes et les outils en ligne. Lors d’un changement de poste ou d’un départ, retirez rapidement les droits devenus inutiles. Une procédure simple pour l’arrivée et le départ d’un salarié évite de conserver des comptes actifs sans raison.

Vérifiez ce que font vos sous-traitants avec les données

Votre hébergeur, votre prestataire de paie ou votre fournisseur de logiciel peut traiter des données personnelles pour votre compte. Vous restez responsable du choix de vos prestataires et du suivi de ce que vous leur confiez. Demandez des réponses compréhensibles avant de transmettre des fichiers ou d’ouvrir un accès.

Rôle : quelles données le prestataire utilise-t-il et pour quelle mission ?
Contrat : les engagements relatifs aux données, à leur sécurité et au recours à d’autres prestataires sont-ils précisés ?
Accès : ses comptes sont-ils limités à ce qui est nécessaire et supprimés à la fin de la mission ?
Incident : comment vous informe-t-il si des données sont perdues, divulguées ou rendues inaccessibles ?

Cette vérification concerne aussi un outil gratuit ou mis en place par un salarié : son usage professionnel ne dispense pas d’examiner le traitement des données.

Préparez votre réaction en cas de violation de données

Une violation de données n’est pas seulement un piratage. Un ordinateur volé, un courriel envoyé au mauvais destinataire ou la suppression de dossiers sans possibilité de récupération peuvent aussi en être une. Il faut pouvoir détecter l’incident, limiter ses conséquences et conserver une trace de ce qui s’est passé.

Désignez à l’avance la personne à prévenir, les accès à couper et le prestataire à contacter. Notez la nature des données concernées, les personnes potentiellement touchées et les mesures prises. Évaluez ensuite si une notification à la CNIL est nécessaire et si les personnes concernées doivent être informées, selon le risque pour leurs droits et libertés. N’attendez pas d’avoir reconstitué tous les détails pour commencer cette évaluation : certains incidents imposent d’agir rapidement.

Le bon point de départ est une liste courte d’actions vérifiables : registre à compléter, accès à corriger, sauvegardes à tester et prestataires à interroger. PC Informatique 77 peut vous aider à examiner les aspects techniques et à mettre en place les protections adaptées dans le cadre de son infogérance pour TPE/PME. Pour les questions juridiques propres à votre activité, faites-vous accompagner par un professionnel compétent.

Nous aidons les entreprises de Meaux et de Chelles à traduire les exigences du RGPD en actions informatiques adaptées à leur activité.

Contactez-nous pour faire le point sur la protection de vos données et vos accès informatiques, ou appelez le 01 60 04 11 62.