RGPD en entreprise à Brest : les priorités avant de choisir un accompagnement

Votre entreprise à Brest utilise un fichier clients, gère des salariés ou reçoit des candidatures ? Elle traite déjà des données personnelles. Le RGPD impose d’encadrer ces usages, sans exiger systématiquement un délégué à la protection des données ni un logiciel spécialisé. Pour avancer, commencez par identifier vos traitements, corriger les risques les plus importants et définir l’aide extérieure réellement nécessaire.

Repérer les obligations qui concernent vraiment votre entreprise

Le règlement général sur la protection des données s’applique aux données permettant d’identifier une personne, directement ou indirectement : nom, adresse électronique nominative, photographie, identifiant client ou données de localisation. Une petite structure n’est pas dispensée du RGPD du seul fait de sa taille. En revanche, les mesures attendues dépendent notamment des usages, des volumes et des risques.

Guide CNIL pour tenir le registre des activités de traitement : Découvrez comment recenser et documenter vos traitements de données personnelles afin de démontrer votre conformité au RGPD.

Partir des activités plutôt que du site internet

La conformité ne se limite pas aux cookies et à la politique de confidentialité. Dans une entreprise brestoise, les traitements peuvent concerner les devis, la facturation, la paie, le recrutement, la prospection ou la vidéosurveillance. Une association, un commerce et une société de services n’auront donc pas les mêmes priorités. Pour chaque activité, identifiez les personnes concernées, les informations collectées, leur utilité et ceux qui y accèdent.

Chaque traitement doit avoir une finalité précise et une base légale adaptée. Le consentement n’est pas une réponse universelle : l’exécution d’un contrat, une obligation légale ou l’intérêt légitime peuvent être pertinents selon les circonstances. Demander une autorisation pour tout risque surtout de brouiller les responsabilités et de créer des démarches inutiles.

Vérifier si un DPO est obligatoire

La désignation d’un délégué à la protection des données, ou DPO, n’est pas obligatoire pour toutes les entreprises. Elle s’impose notamment lorsque les activités de base impliquent un suivi régulier et systématique des personnes à grande échelle, ou certains traitements à grande échelle de données sensibles. D’autres situations, dont celles des autorités et organismes publics, sont également concernées.

En dehors de ces cas, un référent interne peut coordonner les actions sans être officiellement désigné DPO. Si vous choisissez volontairement de nommer un DPO, sa fonction doit respecter les exigences du règlement, notamment en matière d’indépendance, de moyens et d’absence de conflit d’intérêts.

Construire un dossier utile, pas une collection de modèles

La conformité doit pouvoir être démontrée. Un dossier efficace décrit ce que fait réellement l’entreprise et les décisions prises pour protéger les personnes. Des documents standardisés peuvent servir de point de départ, mais ils deviennent trompeurs s’ils mentionnent des outils, des destinataires ou des délais qui ne correspondent pas à vos pratiques.

Le registre constitue un bon socle lorsqu’il sert aussi de carte de dépendances. Pour un fichier clients, notez par exemple le logiciel utilisé, son administrateur, le prestataire qui l’héberge et l’emplacement des sauvegardes. Cette lecture permet de repérer un angle mort fréquent : supprimer une fiche dans l’outil principal ne signifie pas qu’elle a disparu des exports, des messageries ou des dossiers partagés. Vous préparez ainsi une suppression réellement applicable, pas seulement une règle écrite.

Fixez ensuite des durées de conservation adaptées à chaque finalité et aux obligations applicables. Il n’existe pas de délai unique pour toutes les données d’une entreprise. Distinguez l’utilisation courante, l’archivage nécessaire et la suppression, puis vérifiez que vos outils permettent d’exécuter ces décisions.

Traiter les risques concrets avant les détails de présentation

Un document bien rédigé ne compense pas une messagerie compromise ou un fichier de paie ouvert à toute l’équipe. La sécurité doit être proportionnée aux risques : nature des données, conséquences possibles pour les personnes et conditions d’accès. Dans certains cas présentant un risque élevé, une analyse d’impact relative à la protection des données est nécessaire avant le traitement.

Sécuriser les accès et les échanges quotidiens

Commencez par les comptes individuels, les droits d’accès limités aux besoins, l’authentification multifacteur lorsque disponible et les mises à jour. Organisez aussi le départ d’un salarié : fermeture des accès, restitution des équipements et transfert maîtrisé des dossiers professionnels. Les sauvegardes doivent être protégées et leur restauration vérifiée, sans être considérées comme une conservation illimitée autorisée.

Examinez les pratiques ordinaires : pièces jointes envoyées au mauvais destinataire, liens de partage accessibles sans restriction, documents RH conservés sur un ordinateur personnel. Une consigne simple, comprise et applicable vaut mieux qu’une procédure inaccessible. Prévoyez un canal permettant aux équipes de signaler rapidement une erreur sans chercher à la dissimuler.

Préparer la réponse aux incidents et aux demandes

Une violation de données peut imposer une notification à la CNIL, si possible dans les 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. En cas de risque élevé, les personnes concernées doivent en principe aussi être informées. Toutes les violations doivent être documentées, même lorsqu’une notification n’est pas nécessaire.

Pour les demandes d’exercice des droits, le délai de réponse est en principe d’un mois, avec une prolongation possible sous conditions. Désignez un interlocuteur et prévoyez une vérification d’identité proportionnée en cas de doute. Une demande de suppression ne conduit pas automatiquement à effacer une facture soumise à une obligation légale de conservation.

Choisir un accompagnement RGPD à Brest sur des critères vérifiables

Un intervenant local peut faciliter les entretiens, les ateliers et l’observation des pratiques sur place. Mais la proximité géographique ne suffit pas : comparez surtout la méthode, les compétences et les livrables. Un audit ponctuel, une mise en conformité initiale et une mission de DPO externalisé ne répondent pas au même besoin.

• Le périmètre : quels services, établissements, logiciels et traitements seront examinés ?
• Les livrables : recevrez-vous un registre adapté, un plan d’action priorisé et des procédures exploitables ?
• La mise en œuvre : qui corrigera les formulaires, paramétrera les accès et contactera les prestataires ?
• Le suivi : des points de contrôle et une assistance en cas d’incident sont-ils inclus ?
• Les compétences : l’intervenant sait-il articuler protection des données, sécurité informatique et contraintes métier ?

Demandez un devis détaillé plutôt qu’un forfait dont le contenu reste vague. Le coût dépend notamment du nombre de traitements, de la sensibilité des données, des outils et du travail déjà réalisé. Méfiez-vous des promesses de conformité définitive : une nouvelle application, une campagne commerciale ou un changement d’hébergeur peut nécessiter une réévaluation.

Pour démarrer, confiez la coordination à une personne identifiée, réunissez les contrats et la liste des outils, puis faites examiner les usages les plus sensibles. L’objectif n’est pas de produire un dossier qui dormira dans un répertoire : c’est de rendre chaque collecte explicable, chaque accès justifié et chaque incident gérable.