Poser un socle défendable sans y consacrer un poste à plein temps
Albatros France est une PME de services aux entreprises. Le RGPD s'y applique exactement comme dans un grand groupe : le règlement ne prévoit pas de seuil d'effectif en dessous duquel les obligations disparaîtraient. Ce qui diffère, ce sont les moyens. Une PME n'a ni direction juridique ni équipe conformité, et personne n'y consacre ses journées à la protection des données.
L'enjeu pour une structure de cette taille n'est donc pas de tout faire d'un coup, mais de savoir répondre à quatre questions et de tenir la réponse dans le temps : quelles données détenons-nous, pourquoi, combien de temps, et qui y accède. Un dispositif restreint mais réellement à jour vaut mieux qu'un dossier ambitieux abandonné après six mois.
L'enjeu clé
Construire un socle assez complet pour être défendable en cas de contrôle ou de question client, et assez léger pour qu'une équipe sans juriste interne le maintienne réellement.
Les enjeux propres à une PME de services :
- La proportionnalité des obligations : le RGPD s'applique quelle que soit la taille, mais l'article 24 module les mesures selon la nature, la portée et les risques des traitements, ce qui autorise un dispositif dimensionné.
- La prospection B2B : la sollicitation de contacts professionnels peut reposer sur l'intérêt légitime, à condition d'informer les personnes, de tenir un droit d'opposition simple à exercer et de rester dans l'objet de leur fonction.
- Les données RH et les candidatures : dossiers du personnel, variables de paie et CV reçus, y compris les candidatures spontanées non retenues, dont la conservation doit être bornée.
- Les outils SaaS du quotidien : messagerie, CRM, facturation, signature électronique, partage de fichiers : chacun de ces services est un sous-traitant au sens de l'article 28, avec les clauses et les localisations de données qui vont avec.
- Les données clients confiées : dans les services aux entreprises, un prestataire manipule souvent des données appartenant à ses clients, ce qui suppose de savoir en quelle qualité il agit sur chaque prestation.
- Le réflexe avant déploiement : dans une PME, un nouvel outil s'adopte vite, parfois par une seule personne, d'où l'intérêt d'un point de passage léger avant sa mise en service.
Un registre simplifié et quatre réflexes qui tiennent dans la semaine
Nous avons délibérément resserré le périmètre documentaire. Plutôt qu'un corpus exhaustif, un registre simplifié couvrant l'ensemble des traitements réels, quelques procédures courtes et des réflexes attachés aux moments où une question de données se pose vraiment : une embauche, un nouvel outil, une campagne, une demande d'un contact.
Les axes de l'accompagnement :
- Registre simplifié : un format resserré qui répond aux quatre questions de base pour chaque traitement, clients, prospects, salariés, candidats et prestataires, sans rubriques inutilisables en pratique.
- Politique de conservation : durées fixées par finalité, avec une attention particulière aux candidatures non retenues et aux prospects inactifs, deux gisements qui s'accumulent sans décision explicite.
- Cadrage de la prospection B2B : formalisation du recours à l'intérêt légitime, information des contacts, mention d'opposition dans les messages et traitement effectif des désinscriptions.
- Cartographie des outils SaaS : recensement des services utilisés, vérification des clauses de sous-traitance et des localisations d'hébergement, identification des transferts hors Union européenne.
- Qualification des prestations clients : clarification, prestation par prestation, du rôle tenu, responsable de traitement ou sous-traitant, et des clauses contractuelles correspondantes.
- Point de passage avant déploiement : une grille de quelques questions à se poser avant d'adopter un nouvel outil, pour éviter les régularisations a posteriori.
- Procédures courtes : réponse aux droits et gestion d'une violation de données ramenées à une page utilisable par la personne présente le jour de l'incident.
Commencer par ce qui existe, pas par ce qu'il faudrait
Inventaire des outils et des fichiers
Nous avons recensé les services utilisés au quotidien et les fichiers réellement manipulés, pour partir de la situation existante plutôt que d'un modèle théorique.
Construction du registre simplifié
Chaque traitement identifié a reçu une finalité, une base légale, une durée et une liste de destinataires, dans un format resserré et lisible.
Revue des sous-traitants
Les contrats et conditions des outils SaaS ont été examinés au regard de l'article 28, avec les localisations de données et les transferts éventuels.
Cadrage de la prospection et du RH
Les deux sujets les plus exposés dans une PME de services ont été traités en priorité, avec des durées et des mentions d'information posées clairement.
Installation du rythme de suivi
Un référent interne a été identifié et une revue périodique définie, avec la grille de questions à utiliser avant tout nouveau déploiement.
Un socle qui se maintient en quelques heures par an
L'entreprise sait désormais quelles données elle détient, pourquoi, pour combien de temps et qui y accède, et peut le montrer. Le dispositif a été calibré pour être maintenu par une équipe qui a d'autres priorités : une revue périodique courte et un réflexe avant chaque nouvel outil suffisent à le tenir à jour.
Ce que l'équipe a gagné :
- Une réponse prête : un client, un candidat ou un contact qui interroge l'entreprise sur ses données obtient une réponse documentée.
- Des durées décidées : candidatures non retenues et prospects inactifs ne s'accumulent plus faute d'arbitrage.
- Une vue sur les outils : chaque service SaaS est identifié comme sous-traitant, avec ses clauses et sa localisation de données.
- Un réflexe avant d'agir : la question des données se pose désormais avant le déploiement d'un outil, pas après.
Livrables remis :
- Registre des activités de traitement en format simplifié
- Politique de conservation par finalité, incluant candidatures et prospects inactifs
- Cartographie des outils SaaS et de leurs clauses de sous-traitance
- Note de cadrage de la prospection B2B et de l'intérêt légitime
- Mentions d'information pour les clients, les prospects et les candidats
- Procédure de réponse aux droits et procédure de gestion des violations, format court
- Grille de questions à utiliser avant le déploiement d'un nouvel outil
Pourquoi une PME gagne à viser le socle plutôt que l'exhaustivité
Les obligations du RGPD ne dépendent pas de la taille de l'entreprise, et une PME peut faire l'objet d'un contrôle comme d'une réclamation. En pratique, la question vient souvent d'ailleurs : un grand client qui adresse un questionnaire fournisseur, un candidat qui demande l'effacement de sa candidature, un prospect qui s'étonne d'être sollicité. Dans ces situations, l'absence de socle coûte plus de temps que sa constitution.
Viser un socle tenu permet de :
- Répondre sans improviser : un registre à jour suffit à traiter la majorité des questions clients et candidats.
- Éviter l'accumulation : des durées décidées empêchent les fichiers de grossir indéfiniment, et réduisent d'autant ce qu'un incident pourrait exposer.
- Décider avant de déployer : se poser la question en amont d'un nouvel outil évite les mises en conformité rétroactives, toujours plus coûteuses.
- Progresser par étapes : un socle stable constitue la base sur laquelle ajouter, plus tard, ce que l'activité rendra nécessaire.
À retenir
Pour une PME, la bonne conformité n'est pas la plus complète mais la plus tenue. Savoir quelles données on détient, pourquoi, combien de temps et qui y accède, puis maintenir cette réponse, constitue déjà un socle défendable.
Envie du même accompagnement ?
Faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et bâtir votre plan d'action.
