Le RGPD est souvent traité comme une bannière à installer. C'est la partie visible et la moins importante. L'essentiel se joue dans ce que vous collectez, pourquoi, et à qui vous le transmettez.
Le principe qui résume tout
Ne collectez que ce dont vous avez besoin, pour une finalité que vous pouvez énoncer, pendant une durée que vous pouvez justifier. La plupart des non-conformités viennent d'une collecte par habitude : un champ « numéro de téléphone » obligatoire alors que personne n'appelle jamais.
La bannière de consentement, correctement
Une bannière conforme doit permettre de refuser aussi facilement que d'accepter. Un bouton « Tout accepter » bien visible face à un lien « Paramètres » discret est précisément ce que la CNIL sanctionne.
Point technique souvent négligé : les scripts de mesure ne doivent pas se déclencher avant le consentement. Une bannière posée sur un site qui charge déjà ses traceurs est décorative.
La mesure d'audience strictement nécessaire peut être exemptée si elle est correctement configurée, ce qui est une piste intéressante pour éviter la bannière tout en gardant des statistiques utiles.
Les formulaires
- Une finalité annoncée clairement à côté du formulaire.
- Le consentement pour la prospection séparé de l'envoi du formulaire, et non pré-coché.
- Un lien vers la politique de confidentialité accessible depuis le formulaire lui-même.
- Uniquement les champs nécessaires. Chaque champ superflu est un risque sans contrepartie.
Vos sous-traitants sont votre responsabilité
Chaque outil qui reçoit des données personnelles est un sous-traitant : hébergeur, CRM, service d'emailing, outil de support, statistiques. Vous devez savoir lesquels, où sont hébergées les données et sur quelle base juridique elles sortent éventuellement de l'Union européenne.
Tenez un registre des traitements. Ce n'est pas un exercice bureaucratique : c'est le premier document demandé en cas de contrôle, et l'absence de registre est en soi un manquement.
Les durées de conservation
« Pour toujours » n'est pas une durée. Fixez une règle par catégorie : les prospects non convertis après trois ans, les clients selon les obligations comptables, les CV après deux ans. Puis appliquez-la réellement, ce qui suppose une suppression automatisée plutôt qu'une intention.
Les erreurs coûteuses
Acheter des fichiers de prospection, envoyer des emails commerciaux sans base légale, conserver des données indéfiniment, et ne pas être capable de répondre à une demande d'accès dans le mois. Cette dernière est la plus fréquente : si vous ne savez pas où sont les données d'une personne, vous ne pouvez pas les fournir ni les supprimer.
Questions fréquentes
Faut-il un DPO ?
Obligatoire dans certains cas seulement, mais désigner un responsable interne clair est utile dans tous les cas.
Le RGPD s'applique-t-il hors d'Europe ?
Oui, dès que vous ciblez ou suivez des personnes situées dans l'Union européenne.
