RGPD : Le Guide Pratique Pour Se Mettre Au Diapason (Et Eviter La Sanction)

La CNIL et Bpifrance présentaient conjointement ce mardi 17 avril un guide pratique pour accompagner les TPE et PME dans leurs démarches de mise en conformité du Règlement européen sur la protection des données personnelles (RGPD), alors que celui-ci entrera en application le 25 mai prochain.

Message de la Cnil ce mardi matin, « c’est facile ! ». En dévoilant, aux côtés de Bpifrance, son guide pratique de mise en conformité au Règlement européen sur la protection des données (RGPD), Isabelle Falque-Pierrotin, présidente de la Commission nationale informatique et liberté (CNIL), a insisté sur le fait que « pour la plupart des entreprises il n’y aura pas de contraintes nouvelles ». Un ton rassurant et enthousiaste pour « endiguer la vague alarmiste et les positions délétères » face au RGPD. Car l’échéance approche à grands pas. Le 25 mai prochain, les entreprises, start-up, TPE et PME comprises, devront être en conformité avec le RGPD – ou a minima avoir activé une procédure de mise en conformité.

« La loi n’est pas encore votée en France », a indiqué Mounir Mahjoubi, secrétaire d’Etat au Numérique qui a enclenché avec la ministre de la Justice une procédure accélérée au Parlement pour adapter le texte au droit français. Ce nouveau texte est une mise à jour de la directive européenne de 1995 et s’inscrit pour la France dans la continuité d’une législation Informatique et libertés datant de 1978.

« C’était un texte technique, c’est devenu un texte politique. » Politique, en raison des débats actuels au Parlement et parce que « l’Europe est regardée avec intérêt », a-t-il souligné, faisant allusion aux récentes déclarations du patron de Facebook Mark Zuckerberg. Mais loin des machines peu scrupuleuses et gourmandes en données que sont les GAFA, les start-up, TPE et PME françaises peuvent se sentir démunies face à une nouvelle réglementation européenne qui agite le chiffon rouge de la sanction en cas de non-conformité, soit 4% du chiffre d’affaires mondial de l’entreprise.

Valoriser la donnée

En effet, 67% des entreprises estiment ne pas être prêtes pour le 25 mai, selon un sondage mené en lars 2018 par la société NetApp, rapportait Numerama. En raison d’une non-conformité, 35% de ces entreprises craignent les sanctions financières. Et 51% pensent que le RGDP pourrait endommager leur réputation.

Plutôt qu’une contrainte, Mounir Mahjoubi voit dans le RGPD « une opportunité pour les entreprises via la valorisation de la donnée ». Et des données, « les clients sont prêts à en donner beaucoup », constate Nicolas Dufourcq, Directeur général de Bpifrance. Or, jusqu’à présent, ces données n’étaient pas toujours protégées.

A qui s’adresse ce guide pratique ? A « tout organisme », rétorquent la Cnil et Bpifrance. « Le RGPD s’applique à toute organisation, publique et privée, qui traite des données personnelles pour son compte ou non », implantée sur le territoire européen et dont l’activité cible directement des résidents européens.

Xavier Delporte, expert protection des données à la Cnil, a détaillé les quatre étapes essentielles :

• Recenser et constituer un registre de traitement des données. « Savoir quelles données l’entreprise possède. »
• Faire le tri dans les données. « N’avoir que les données dont on a besoin. »
• Respecter le droit des personnes. « Cela permet de remettre de la confiance dans la relation. »
• Sécuriser. « Transparence et confidentialité, respect de la vie privée, éviter les fuites, etc. »

Pour convaincre les plus récalcitrants, ou ceux qui considèreraient, comme l’a confirmé la Cnil, que l’instance ne dispose pas assez de moyens pour jouer pleinement son rôle de contrôleur, et qu’ils pourraient donc passer entre les mailles du filet, la Cnil et Bpifrance proposent une liste d’avantages qu’apporteraient la mise en conformité : renforcer la confiance, améliorer l’efficacité commerciale, mieux gérer l’entreprise, améliorer la sécurité des entreprises, rassurer les clients et créer de nouveaux services.

Une mise en conformité qui a un coût. « Du temps », indique Nathalie Daoud, fondatrice de Hucklink, une entreprise liée à Welljob, qui ne s’interdira pas de faire appel à des cabinets de conseil. « Une centaine de milliers d’euros », surenchérit Pierre-Olivier Brial à la tête de Manutan. « Un temps plein depuis cinq mois », ajoute Nicolas Berbigier, cofondateur de Famoco. Tout dépend de la taille de l’entreprise, des données qu’elle gère. Idem pour l’accompagnement et le contrôle que mettra en œuvre la Cnil, du cas par cas.