RGPD : les actions que doivent mener les PME pour être conformes

Vendredi 25 mai 2018, les amendes risquent de fleurir pour les entreprises n'ayant pas pris en compte les exigences du nouveau règlement général sur la protection des données (RGPD). Le texte prévoit en effet des sanctions allant jusqu'à 2% ou 4% du chiffre d'affaires mondial ou jusqu'à 10 ou 20 millions d'euros (le montant le plus élevé étant retenu), que l'entreprise soit une TPE, PME ou cotée au CAC 40.

Plus qu'un ensemble de contraintes, le RGPD dépoussière les anciennes règlementations et oblige chaque organisation à développer une politique de protection des données à caractère personnel (intégrant les contraintes de sécurité, de gouvernance ou les nouveaux droits des citoyens européens notamment).

Le texte allège par ailleurs les lourdeurs administratives associées aux "Déclarations CNIL". En contrepartie, les entreprises qui gèrent, via leurs traitements, des données à caractère personnel (pour leur compte ou pour le compte de leurs clients), devront intégrer le principe d'"accountability", c'est-à-dire apporter la preuve que toutes les mesures techniques et organisationnelles ont été mises en oeuvre pour protéger leurs données.

Les PME dont le nombre de salariés est inférieur à 250 sont dispensées de certaines obligations, telle que la consignation de leurs activités de traitement dans un registre. Toutefois, qu'il s'agisse d'une TPE, d'une PME ou d'une grande entreprise, le RGPD s'applique à tous. Les efforts de "mise en conformité" seront probablement différents en fonction de la taille des entreprises mais ils viseront l'application stricte du nouveau règlement aux Responsables des traitements ou aux "sous-traitants".

Pour respecter cette nouvelle réglementation, les PME devront se plier à six grandes actions incontournables :

- La mise en conformité contractuelle et juridique

- La gestion du statut de "sous-traitant" s'il est constaté, et ce afin de rassurer les clients (RT) concernés

- La mise en place de toutes les mesures techniques et organisationnelles visant la protection des données à caractère personnel (dont contraindre les fournisseurs, tels que les éditeurs de logiciels, à fournir des logiciels conformes)

- La nomination d'un Data Protection Officer (externalisé ou mutualisé)

- La mise en place d'une gouvernance adaptée (procédures claires, rôles définis)

- La gestion récurrente du plan de mise en conformité

Pour y voir plus clair et répondre à ces nouvelles obligations, les PME doivent suivre différentes phases selon une méthode prédéfinie.

Les étapes clés des PME pour organiser leur mise en conformité RGPD

Il incombe à toutes les entreprises d'entamer une véritable démarche de mise en conformité RGPD. La méthode à adopter pour les PME est la même que pour les grandes organisations.

1. Mener une étude " flash " d'exposition de l'entreprise au RGPD

Cette action est le point de départ pour identifier les responsabilités de la PME en tant que Responsable de traitements et en tant que sous-traitants. Cette étude est menée sur l'ensemble des axes : juridique, organisationnel, business (traitements par métier), informatique, sécurité. Elle permet de pré-qualifier et de pré-quantifier l'effort de recensement à réaliser. Généralement, pour les PME, cela se traduit par une réunion d'une journée avec les différents acteurs.

2. Établir un état des lieux RGPD

Suite à l'étude flash et en fonction des éléments d'exposition au RGPD (activité de base, périmètre et échelle d'utilisation des données à caractère personnel...), un état des lieux RGPD est mené. Il vise, à partir d'une cartographie de chaque traitement, à identifier le GAP Analysis entre l'existant et les exigences du RGPD. Une étude des risques est alors menée pour identifier les grandes priorités de mise en conformité.

3. Développer un plan d'action

Cette étude donne lieu à l'élaboration d'un plan d'action par traitement. Celles-ci sont regroupées par la suite par thématiques : actions juridiques et contractuelles (revue des contrats de travail, revue des contrats de vente, revue des mentions légales...), actions informatiques (sécurité, nouveaux droits, accountability...), actions organisationnelles (nomination d'un DPO, gouvernance du RGPD, logigrammes...), actions vis-à-vis des clients (notamment si l'entreprise est sous-traitante), actions vis-à-vis des sous-traitants ou partenaires tels que les cabinets comptables, fournisseurs, éditeurs de logiciels, etc. Ce plan d'action doit être qualifié, quantifié, hiérarchisé et planifié.

4. Et après ?

Après arbitrage, l'entreprise devra suivre les actions de mise en conformité en fonction de ses contraintes de mobilisation. Il est probable que le délai de mise en oeuvre de ces actions soit plus long que dans les grandes entreprises. Peu importe, il conviendra de démontrer à l'Autorité de Contrôle (CNIL) que les actions sont lancées et gérées.

Pour les TPE et PME, le RGPD peut représenter une contrainte. L'investissement d'étude et la mise en oeuvre du plan de mise en conformité peuvent effectivement ne pas être neutre. Pour autant, et au-delà des "sanctions financières" prévues, il est vital pour les PME de pouvoir continuer à exercer leur business avec leurs clients grands comptes (qui demanderont obligatoirement aux PME que les exigences du RGPD soient mises en oeuvre) et avec leurs clients particuliers (qui eux aussi demanderont une garantie de protection de leurs données).

Le RGPD, un nouvel avantage concurrentiel

La conformité RGPD s'inscrit clairement dans une logique vertueuse. Elle va représenter pour les PME un facteur de transparence et de confiance. Au-delà des obligations du texte, il s'agit d'une vraie culture de la protection des données et un changement de posture qui s'instaurent.

A ce titre, d'ailleurs, les TPE et PME qui souhaiteront continuer à exercer leurs activités avec les grands groupes seront contraintes par ces derniers de démontrer qu'elles ont pris en compte la nouvelle réglementation. Ces grands groupes vont ainsi modifier leurs critères d'octroi de marché aux TPE et PME en intégrant un critère de conformité RGPD. Le texte oblige en effet toute entreprise de s'assurer que le "sous-traitant" qui gère tout ou une partie du traitement impliquant des données à caractère personnel a pris en compte et mis en oeuvre les exigences RGPD.

Bio

Denis Skalski est directeur conseil chez Umanis, ESN spécialiste de la Data, du Digital et des Solutions métiers. A partir de 1991, il effectue l'ensemble de sa carrière dans le conseil en Business Intelligence au sein d'ESN, tels qu'Andersen Consulting, Accenture, Cap Gemini Ernst & Young, Atos, Polarys et Keyrus.

Il intègre Umanis en 2015 pour accompagner ses clients dans leurs enjeux de transformation digitale et de gouvernance des données. Il porte notamment l'offre clé sur le RGPD.