Beaucoup de dirigeants de PME pensent que le RGPD ne concerne que les grandes entreprises. C’est une erreur qui peut co\u00fbter tr\u00e8s cher. Voici ce que vous risquez concr\u00e8tement \u2014 et comment l’\u00e9viter.
\nLe RGPD s’applique \u00e0 toutes les entreprises, sans exception de taille<\/p>\n\n\n\n
Le R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es (RGPD) est entr\u00e9 en vigueur en mai 2018. Depuis, une id\u00e9e fausse persiste : seules les grandes entreprises seraient concern\u00e9es. La r\u00e9alit\u00e9 est tout autre.<\/p>\n\n\n\n
Le RGPD s’applique \u00e0 toute structure qui traite des donn\u00e9es personnelles \u2014 qu’il s’agisse d’un grand groupe international, d’une PME de 15 salari\u00e9s ou m\u00eame d’une association. D\u00e8s lors que vous collectez des noms, des adresses email, des num\u00e9ros de t\u00e9l\u00e9phone ou des donn\u00e9es de sant\u00e9, vous \u00eates soumis au r\u00e8glement.<\/p>\n\n\n\n
Et la CNIL \u2014 l’autorit\u00e9 fran\u00e7aise de contr\u00f4le \u2014 ne fait pas de distinction de taille lorsqu’elle prononce ses sanctions.
\nLes sanctions RGPD : des chiffres qui donnent le vertige<\/p>\n\n\n\n
Le RGPD pr\u00e9voit deux niveaux de sanctions administratives :<\/strong><\/p>\n\n\n\n Jusqu’\u00e0 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour les infractions les moins graves Ces plafonds concernent les grandes entreprises. Pour une PME, la CNIL prononce des amendes proportionn\u00e9es \u2014 mais qui peuvent n\u00e9anmoins repr\u00e9senter plusieurs dizaines de milliers d’euros et mettre en p\u00e9ril l’entreprise.<\/p>\n\n\n\n Au-del\u00e0 de l’amende, la CNIL peut \u00e9galement ordonner une mise en demeure publique, une suspension des traitements de donn\u00e9es ou une injonction de mise en conformit\u00e9 sous astreinte. Ces mesures peuvent paralyser l’activit\u00e9 de l’entreprise. La CNIL a d\u00e9montr\u00e9 ces derni\u00e8res ann\u00e9es qu’elle n’h\u00e9site pas \u00e0 sanctionner des structures de taille modeste. Parmi les cas document\u00e9s :<\/p>\n\n\n\n Une soci\u00e9t\u00e9 de moins de 50 salari\u00e9s sanctionn\u00e9e pour absence de registre des traitements et d\u00e9faut de s\u00e9curisation des donn\u00e9es clients Dans tous ces cas, les entreprises concern\u00e9es pensaient \u00eatre trop petites pour \u00eatre contr\u00f4l\u00e9es. Elles avaient tort. 1. L’absence de registre des traitements<\/strong><\/p>\n\n\n\n Le registre des traitements est obligatoire pour toute entreprise de plus de 250 salari\u00e9s, et recommand\u00e9 pour toutes les autres. Il recense l’ensemble des activit\u00e9s de traitement de donn\u00e9es personnelles : clients, salari\u00e9s, fournisseurs, prospects. Son absence constitue un manquement document\u00e9 qui aggrave syst\u00e9matiquement toute sanction CNIL.<\/p>\n\n\n\n 2. Les contrats sous-traitants non conformes<\/strong><\/p>\n\n\n\n Vous utilisez un logiciel RH, un outil de mailing, un prestataire cloud ? Chacun de ces prestataires est un \u00ab\u00a0sous-traitant\u00a0\u00bb au sens du RGPD. L’article 28 du r\u00e8glement impose de conclure avec chacun d’eux un contrat sp\u00e9cifique encadrant le traitement des donn\u00e9es. Sans ces contrats, vous \u00eates responsable en cas de violation de donn\u00e9es par l’un de vos prestataires.<\/p>\n\n\n\n 3. Les cookies non conformes<\/strong><\/p>\n\n\n\n Votre site web collecte des donn\u00e9es via des cookies publicitaires ou analytiques ? Le consentement des visiteurs doit \u00eatre recueilli de mani\u00e8re explicite, avant tout d\u00e9p\u00f4t de cookie. La CNIL a men\u00e9 des vagues de contr\u00f4les syst\u00e9matiques sur ce point depuis 2022 et continue d’infliger des amendes.<\/p>\n\n\n\n 4. La gestion des donn\u00e9es salari\u00e9s<\/strong><\/p>\n\n\n\n Les donn\u00e9es de vos salari\u00e9s sont des donn\u00e9es personnelles soumises au RGPD. Bulletins de paie conserv\u00e9s trop longtemps, acc\u00e8s aux dossiers RH non restreints, absence d’information des employ\u00e9s sur le traitement de leurs donn\u00e9es : autant de violations r\u00e9guli\u00e8rement sanctionn\u00e9es.<\/p>\n\n\n\n 5. L’absence de proc\u00e9dure en cas de violation de donn\u00e9es<\/strong><\/p>\n\n\n\n En cas de fuite, de piratage ou de perte de donn\u00e9es, vous disposez de 72 heures pour notifier la CNIL. Sans proc\u00e9dure interne pr\u00e9alable, ce d\u00e9lai est impossible \u00e0 respecter \u2014 et son non-respect constitue une infraction suppl\u00e9mentaire qui aggrave la sanction. Beaucoup de dirigeants reportent la mise en conformit\u00e9 RGPD en estimant que le co\u00fbt est trop \u00e9lev\u00e9. C’est une erreur d’analyse.<\/p>\n\n\n\n Un audit RGPD men\u00e9 par un avocat pour une PME de moins de 50 salari\u00e9s repr\u00e9sente un investissement raisonnable et pr\u00e9visible. En comparaison, une mise en demeure de la CNIL g\u00e9n\u00e8re des co\u00fbts bien sup\u00e9rieurs : honoraires d’avocat en urgence, frais de mise en conformit\u00e9 pr\u00e9cipit\u00e9e, pr\u00e9judice de r\u00e9putation, et bien s\u00fbr l’amende elle-m\u00eame.<\/p>\n\n\n\n Agir avant un contr\u00f4le est toujours moins co\u00fbteux qu’agir apr\u00e8s. Si vous n’avez pas encore initi\u00e9 votre mise en conformit\u00e9 RGPD, voici les trois premi\u00e8res actions \u00e0 entreprendre :<\/p>\n\n\n\n Dresser l’inventaire de vos traitements : quelles donn\u00e9es collectez-vous, dans quel but, pendant combien de temps ? Conclusion<\/strong><\/p>\n\n\n\n Le RGPD n’est pas une contrainte r\u00e9serv\u00e9e aux grands groupes. C’est une r\u00e9alit\u00e9 juridique qui concerne votre PME d\u00e8s aujourd’hui. La CNIL a les moyens et la volont\u00e9 de contr\u00f4ler les entreprises de toute taille \u2014 et les sanctions peuvent \u00eatre d\u00e9vastatrices pour une structure de taille modeste.<\/p>\n\n\n\n La bonne nouvelle : une mise en conformit\u00e9 men\u00e9e s\u00e9rieusement vous prot\u00e8ge efficacement et peut m\u00eame devenir un argument commercial aupr\u00e8s de vos clients et partenaires.<\/p>\n","protected":false},"excerpt":{"rendered":" Absence de registre, cookies non conformes, sous-traitants non contractualis\u00e9s… Voici les 5 risques RGPD les plus fr\u00e9quents pour les PME et les sanctions encourues.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[1],"tags":[],"class_list":["post-6","post","type-post","status-publish","format-standard","hentry","category-actualites-juridiques"],"yoast_head":"\n
\nJusqu’\u00e0 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel pour les infractions les plus graves<\/p>\n\n\n\n
\nDes PME d\u00e9j\u00e0 sanctionn\u00e9es : les exemples concrets<\/p>\n\n\n\n
\nUn prestataire de sant\u00e9 condamn\u00e9 pour conservation excessive des donn\u00e9es de patients
\nDes e-commer\u00e7ants sanctionn\u00e9s pour des pratiques de cookies non conformes<\/p>\n\n\n\n
\nLes 5 manquements les plus fr\u00e9quemment sanctionn\u00e9s dans les PME<\/p>\n\n\n\n
\nLe co\u00fbt r\u00e9el d’une mise en conformit\u00e9 vs le co\u00fbt d’une sanction<\/strong><\/p>\n\n\n\n
\nCe que vous devez faire d\u00e8s maintenant<\/p>\n\n\n\n
\nIdentifier vos sous-traitants : tous vos prestataires qui acc\u00e8dent \u00e0 des donn\u00e9es personnelles doivent \u00eatre r\u00e9f\u00e9renc\u00e9s et contractualis\u00e9s
\nFaire auditer votre situation par un professionnel du droit : un avocat sp\u00e9cialis\u00e9 vous donnera une vision pr\u00e9cise de vos risques r\u00e9els et de vos priorit\u00e9s<\/p>\n\n\n\n