Qu'est-ce que le RGPD, concrètement ?

Le RGPD en une phrase

Le RGPD (Règlement Général sur la Protection des Données) est un texte européen en vigueur depuis mai 2018. Son principe : toute entreprise qui collecte des données personnelles doit expliquer pourquoi, les protéger, et permettre aux personnes concernées de les récupérer ou de les supprimer.

Pas de jargon inutile. Si vous stockez le nom, l'email ou l'adresse IP d'un client, vous êtes concerné. Peu importe votre taille : PME de 8 salariés ou groupe international.

Pourquoi ça concerne votre PME

Beaucoup de dirigeants pensent que le RGPD, c'est pour les GAFAM. C'est faux. Votre fichier clients sur Excel, votre CRM, votre logiciel de paie, votre plateforme de facturation : tout ça traite des données personnelles. Et le RGPD s'applique à tout le monde, y compris aux sous-traitants qui manipulent ces données pour votre compte.

Un chiffre pour situer : en 2024, la CNIL a prononcé 87 sanctions. Parmi elles, des PME et des associations. Pas uniquement des multinationales. Les amendes vont de quelques milliers d'euros à 20 millions, ou 4 % du CA mondial -- le montant le plus élevé étant retenu.

Les 6 principes du RGPD (version courte)

Le règlement repose sur six principes. Voici ce qu'ils signifient en pratique pour un dirigeant de PME :

1. Licéité et transparence. Vous devez avoir une raison légale de collecter des données (contrat, consentement, obligation légale). Et vous devez le dire clairement à la personne concernée. Pas dans un document de 47 pages : en langage compréhensible.

2. Limitation des finalités. Vous collectez des données pour une raison précise. Vous ne pouvez pas les réutiliser pour autre chose sans prévenir. Exemple : un fichier client pour la facturation ne peut pas servir à du démarchage commercial sans consentement séparé.

3. Minimisation. Ne collectez que ce dont vous avez besoin. Si vous n'avez pas besoin de la date de naissance pour facturer un client, ne la demandez pas.

4. Exactitude. Les données doivent être à jour. Un client qui change d'adresse doit pouvoir la corriger. C'est votre responsabilité de faciliter ça.

5. Limitation de conservation. Vous ne gardez pas les données éternellement. Un CV non retenu ? Supprimé après 2 ans maximum (recommandation CNIL). Des données clients après fin de contrat ? 3 ans en base active, puis archivage ou suppression.

6. Intégrité et confidentialité. Les données doivent être protégées. Pas stockées dans un fichier Excel ouvert sur un drive partagé sans mot de passe. Chiffrement, contrôle d'accès, sauvegardes : c'est le minimum.

Les droits des personnes : ce que vos clients peuvent vous demander

Le RGPD donne des droits concrets aux personnes dont vous traitez les données. Et vous devez être capable d'y répondre sous 30 jours. Voici les principaux :

Droit d'accès : un client vous demande "quelles données avez-vous sur moi ?" Vous devez répondre avec la liste complète.

Droit de rectification : "mon adresse a changé, mettez à jour." Vous devez le faire.

Droit à l'effacement : "supprimez mes données." Sauf obligation légale de les conserver (comptabilité par exemple), vous devez obtempérer.

Droit à la portabilité : "donnez-moi mes données dans un format lisible pour que je les transfère ailleurs." Format CSV ou JSON, pas un PDF illisible.

Droit d'opposition : un prospect dit "arrêtez de m'envoyer des emails." C'est immédiat, pas "on vous désinscrit sous 30 jours".

En pratique, peu de PME reçoivent ces demandes chaque semaine. Mais quand ça arrive, il faut pouvoir répondre. Et la CNIL vérifie.

Comment se mettre en conformité : le plan d'action PME

Étape 1 : cartographier vos traitements de données

Avant de corriger quoi que ce soit, il faut savoir où sont vos données. Faites l'inventaire :

Quels logiciels utilisez-vous ? (comptabilité, CRM, paie, facturation, newsletter). Quelles données y sont stockées ? (noms, emails, coordonnées bancaires pour les salariés). Qui y a accès ? Combien de temps les gardez-vous ?

Cet inventaire s'appelle le registre des traitements. La CNIL fournit un modèle gratuit. Pour une PME de 10-30 salariés, ça prend une demi-journée à remplir correctement.

Étape 2 : sécuriser les données

Pas besoin d'un budget sécurité à six chiffres. Pour une PME, les bases suffisent :

Mots de passe solides sur tous les outils (12 caractères minimum, un gestionnaire de mots de passe). Chiffrement des données sensibles (les logiciels SaaS modernes le font par défaut). Contrôle d'accès : votre stagiaire n'a pas besoin d'accéder aux fiches de paie. Sauvegardes régulières et testées (pas juste "on a un backup quelque part").

Le plus gros risque pour une PME, ce n'est pas le hackeur sophistiqué. C'est le fichier client envoyé par email sans protection, ou le mot de passe "azerty123" sur le CRM.

Étape 3 : informer vos clients et salariés

Votre site web a une politique de confidentialité ? Vérifiez qu'elle est à jour et compréhensible. Vos salariés savent comment vous traitez leurs données de paie ? Mettez une note d'information dans le règlement intérieur.

L'idée n'est pas de produire un document juridique de 30 pages. C'est d'expliquer clairement : quelles données vous collectez, pourquoi, combien de temps vous les gardez, et comment les personnes peuvent exercer leurs droits.

Étape 4 : préparer la gestion des incidents

Si vous subissez une fuite de données (un fichier envoyé au mauvais destinataire, un accès non autorisé), vous avez 72 heures pour notifier la CNIL. Préparez un réflexe : qui prévenir en interne, comment évaluer la gravité, quel formulaire CNIL utiliser.

La majorité des PME n'ont jamais eu à le faire. Mais le jour où ça arrive, avoir un protocole évite la panique.

Les sanctions : ce que ça coûte vraiment

Sanctions financières

Les amendes sont proportionnelles à la gravité. Pour les infractions les plus lourdes : jusqu'à 20 millions d'euros ou 4 % du CA mondial. Pour les manquements "mineurs" (registre non tenu, information incomplète) : jusqu'à 10 millions ou 2 % du CA.

En pratique, la CNIL commence souvent par un rappel à l'ordre ou une mise en demeure. Les amendes tombent quand l'entreprise ne réagit pas ou quand la violation est grave (données de santé diffusées, fichiers clients vendus sans consentement).

Exemples réels : en 2023, une société de téléprospection a été sanctionnée à 600 000 EUR pour démarchage téléphonique sans consentement. Un laboratoire d'analyses médicales : 1,5 million EUR pour défaut de sécurité sur des données de santé.

Sanctions pénales

Au-delà des amendes administratives, le Code pénal prévoit jusqu'à 5 ans de prison et 300 000 EUR d'amende pour collecte frauduleuse de données. C'est rare, mais ça existe. Un dirigeant qui collecte délibérément des données sans base légale s'expose personnellement.

Le vrai risque pour une PME n'est pas l'amende record à 20 millions. C'est la mise en demeure publique de la CNIL. Votre nom apparaît sur le site de la CNIL, vos clients le voient, vos prospects aussi. Le dommage à la réputation dépasse souvent le montant de l'amende. Un cabinet comptable sanctionné pour un défaut de protection des données clients perd la confiance de son portefeuille en quelques jours.

La bonne nouvelle : la CNIL accompagne avant de sanctionner. Elle publie des guides pratiques, des modèles de registre, des FAQ adaptées aux PME. Le site cnil.fr est une ressource concrète et gratuite. L'excuse "on ne savait pas" ne tient plus depuis 2018.

RGPD et outils BI : le point aveugle des PME

Beaucoup d'entreprises pensent "RGPD = site web + cookies". C'est une vision incomplète. Dès que vous centralisez des données dans un outil de Business Intelligence, vous créez un traitement de données supplémentaire. Et souvent, un traitement sensible : données financières, données RH, données clients croisées.

Prenons un cas concret. Un cabinet comptable utilise Power BI pour générer des tableaux de bord pour 15 clients. Chaque tableau agrège des données de facturation, de paie, de trésorerie. Qui a accès à quoi ? Les données du client A sont-elles visibles par le client B ? Où sont-elles stockées ? Sur quel serveur, dans quel pays ?

Si ces questions restent sans réponse, le cabinet est en infraction. Pas par mauvaise volonté : par manque de visibilité sur sa propre infrastructure. C'est le problème classique du "on a déployé l'outil, on n'a pas pensé à la conformité".

Le cas particulier de Power BI et Microsoft 365

Power BI Service stocke les données sur les datacenters Azure de Microsoft. Pour les entreprises européennes, Microsoft propose un hébergement en région EU. Mais la réalité est plus nuancée : certaines métadonnées transitent aux États-Unis, les conditions du DPA Microsoft sont complexes (plus de 50 pages), et la gestion des licences et droits d'accès via Microsoft Entra demande une expertise technique que peu de PME possèdent.

Résultat : beaucoup de PME utilisent Power BI sans savoir précisément où sont leurs données, qui y a accès, et si leur configuration respecte le RGPD. Ce n'est pas un reproche : c'est la conséquence d'un outil conçu pour les grandes entreprises avec des équipes IT dédiées.

Le DPO : obligatoire ou pas ?

Le Délégué à la Protection des Données (DPO) est obligatoire dans trois cas :

  • organismes publics (ministères, collectivités, hôpitaux) ;
  • entreprises dont l'activité principale implique un suivi systématique des personnes à grande échelle (publicité ciblée, géolocalisation, scoring crédit) ;
  • traitement à grande échelle de données sensibles : santé, opinions politiques, données biométriques, condamnations pénales.

Pour la plupart des PME, le DPO n'est pas obligatoire. Mais il est recommandé de désigner un référent interne -- même à temps partiel -- qui connaît les bases du RGPD et peut répondre aux demandes. Ça peut être le DAF en charge du reporting, le responsable RH, ou le dirigeant lui-même. L'important : que quelqu'un sache quoi faire quand un client demande "supprimez mes données".

Checklist RGPD pour les PME qui utilisent des outils BI

Avant de déployer un outil de reporting ou de BI, posez-vous ces questions :

Où sont hébergées les données ? (pays, fournisseur cloud, région). Qui a accès aux tableaux de bord ? (authentification, droits par rôle). Les données clients sont-elles isolées entre elles ? Est-ce qu'un DPA est en place avec le fournisseur ? Combien de temps les données sont-elles conservées ? Pouvez-vous supprimer les données d'un client spécifique sur demande ?

Si vous ne pouvez pas répondre à une seule de ces questions : corrigez avant de continuer.

Drivn et le RGPD : ce qu'on fait concrètement

Hébergement et sécurité

Vos données Drivn sont hébergées sur Microsoft Azure, région France. Pas aux États-Unis, pas en Irlande : en France. Les données de chaque client sont isolées (architecture multi-tenant avec séparation stricte). Aucune donnée n'est partagée entre clients ni utilisée à d'autres fins que le service rendu. Le dispositif complet est détaillé dans notre article sur la sécurité des données avec Power BI.

Droits des utilisateurs

Vos collaborateurs veulent accéder à leurs données, les rectifier ou les supprimer ? C'est faisable directement depuis l'interface, ou par simple demande à notre équipe. Délai de réponse : 48h maximum, pas 30 jours.

Un DPA (Data Processing Agreement) est disponible sur demande pour formaliser le cadre contractuel. Si votre DPO ou votre expert-comptable le demande, on le fournit sous 24h.

Ce que ça change pour vous

En utilisant Drivn pour vos tableaux de bord, vous n'avez pas à gérer la conformité RGPD de l'infrastructure BI. Pas de serveur à sécuriser, pas de droits Azure à configurer, pas de DPA à négocier avec Microsoft. On s'en occupe. Vous vous concentrez sur vos données, pas sur la plomberie réglementaire.

Pour les cabinets comptables qui gèrent plusieurs clients : chaque client a son espace isolé. Les données du client A ne croisent jamais celles du client B. Même en interne chez Drivn, l'accès est restreint au strict nécessaire.

Ce qu'il faut retenir

Le RGPD n'est pas un épouvantail réservé aux GAFAM. C'est un cadre qui s'applique à toute entreprise qui stocke un nom, un email ou une adresse. La bonne nouvelle : pour une PME, la mise en conformité n'est ni longue ni coûteuse. Un registre des traitements (une demi-journée), des mots de passe solides, une politique de confidentialité claire, et un réflexe en cas d'incident.

Là où ça se complique, c'est quand les outils se multiplient et que personne ne sait exactement où sont les données. C'est vrai pour les logiciels comptables, les CRM, et surtout pour les outils de BI qui centralisent tout.

Le conseil le plus utile qu'on puisse donner : commencez par l'inventaire. Listez vos logiciels, vos données, vos accès. C'est 80 % du travail de conformité. Le reste suit naturellement.