Qu’est-ce que le RGPD ?
Le RGPD est moins une formalité administrative qu’un ensemble de conditions attachées à une activité précise : le traitement de données personnelles. Toute information qui identifie une personne, un nom, une adresse email, une adresse IP, un historique d’achat, entre dans le champ du règlement dès qu’une entreprise la collecte, la stocke, l’utilise ou la partage. Le règlement s’applique depuis mai 2018 à toute organisation établie dans l’UE, et à toute organisation hors UE qui traite des données de résidents européens, sans exception pour les petites structures.
La confusion la plus coûteuse consiste à traiter le RGPD comme un projet ponctuel avec une date de fin. C’est une exigence opérationnelle permanente, plus proche d’une obligation comptable que d’une refonte de site web. Une entreprise conforme il y a deux ans lors d’un audit de données, qui a depuis ajouté un outil marketing, un sous-traitant ou un nouveau flux de données, n’est très probablement plus conforme aujourd’hui, sans que personne ne l’ait décidé.
Pourquoi le RGPD est important
Trois raisons en font une vraie question business, pas une formalité juridique à déléguer et oublier.
- L’application en Belgique est réelle, pas théorique. L’Autorité de protection des données (APD) a déjà sanctionné des entreprises de toutes tailles, le plus souvent entre 2 000 et 100 000 euros pour des PME, bien avant d’atteindre le plafond de 20 millions d’euros que les titres de presse citent en priorité. L’avertissement et le rappel à l’ordre restent l’issue la plus fréquente pour un premier manquement mineur et corrigé, mais un manquement répété ou ignoré s’aggrave.
- Les sous-traitants étendent l’obligation, ils ne la suppriment pas. Un hébergeur, un éditeur de CRM, une agence marketing ou un logiciel de comptabilité qui touche vos données clients est un sous-traitant au sens du RGPD, et la responsabilité d’avoir un contrat conforme avec chacun d’eux revient à l’entreprise qui a collecté la donnée, pas au prestataire.
- La conformité est devenue un critère commercial, pas seulement légal. Les grands comptes et les marchés publics demandent de plus en plus une preuve de registre des traitements, de politique de confidentialité et de contrats sous-traitants avant de signer, ce qui transforme la conformité RGPD en document qui fait gagner un contrat plutôt qu’en simple protection défensive.
Le point inconfortable à assumer clairement : le RGPD n’allège pas ses exigences pour une petite équipe, il ne simplifie que certaines démarches. Une entreprise de cinq personnes qui collecte des emails clients porte les mêmes bases légales et la même obligation de notification de violation qu’une entreprise de cinq cents personnes, avec seulement un registre plus léger.
Comment ça fonctionne
Quatre obligations s’appliquent à pratiquement toute entreprise qui traite des données personnelles, indépendamment de sa taille ou de son secteur.
Une base légale pour chaque traitement. Consentement, nécessité contractuelle, obligation légale ou intérêt légitime, nommée et documentée avant la collecte, pas reconstruite après coup quand quelqu’un pose la question.
Un registre des traitements. Les entreprises de moins de 250 salariés n’ont besoin de consigner que les traitements réguliers, à risque ou portant sur des données sensibles, ce qui allège la charge administrative pour une PME classique tout en gardant les flux à risque documentés.
Des droits individuels honorés sur demande. Accès, rectification, effacement et portabilité, avec une réponse attendue dans le mois, pas une file d’attente indéfinie.
Une notification de violation dans les 72 heures. À l’Autorité de protection des données dès qu’une violation est identifiée, et aux personnes concernées quand le risque pour elles est élevé, ce qui suppose qu’un processus de réponse à incident existe avant l’incident, pas qu’il s’improvise pendant.
Un délégué à la protection des données n’est obligatoire que dans trois cas : une autorité publique, une activité construite autour d’un suivi systématique à grande échelle des personnes, ou un traitement à grande échelle de données sensibles. La plupart des PME sortent des trois cas, ce qui est souvent mal compris comme une exemption totale du RGPD, alors que seule l’obligation de DPO est levée.
Mise en œuvre
L’ordre ci-dessous place en premier le travail de cartographie, le moins visible, parce que c’est là que les projets de mise en conformité échouent le plus souvent.
- Cartographier les flux de données réels. Pas la politique écrite sur papier, les outils réellement utilisés : le CRM, la plateforme d’emailing, le logiciel de comptabilité, les formulaires du site, le prestataire de paiement. La plupart des trous se trouvent dans des outils que personne n’avait pensé à inclure.
- Nommer une base légale pour chaque flux, puis supprimer ce qui n’en a aucune. Une donnée collectée sans base légale claire est un passif qui dort dans une base, pas un actif, et la supprimer coûte généralement moins cher que la défendre plus tard.
- Obtenir un contrat de sous-traitance signé avec chaque prestataire qui touche des données personnelles. Hébergement, CRM, emailing, comptabilité, analytics. Un contrat manquant est l’un des constats les plus fréquents lors d’un audit réel.
- Rédiger une politique de confidentialité qui correspond à la réalité, pas à un modèle copié. Une politique copiée qui liste des droits que l’entreprise n’honore pas réellement est pire que l’absence de politique, car elle devient la preuve de l’écart.
- Construire le processus de réponse à incident avant d’en avoir besoin. Qui est prévenu en interne, comment le délai de 72 heures est suivi, qui rédige la notification à l’Autorité de protection des données. Le répéter une fois coûte peu et évite le moment précis où la panique est la plus probable.
- Former les personnes qui manipulent réellement des données au quotidien. La plupart des violations viennent d’une erreur ordinaire, pas d’un piratage : un email envoyé à la mauvaise liste, un fichier partagé trop largement, un ordinateur portable sans chiffrement.
Combien ça coûte
Le coût visible est proche de zéro, et c’est précisément le piège. Rédiger une politique de confidentialité ou un modèle de registre coûte peu ou rien. Le vrai coût est le travail que la plupart des entreprises sautent : cartographier chaque flux de données réel, obtenir des contrats signés avec chaque sous-traitant, et maintenir le registre à jour quand les outils changent. Un délégué à la protection des données externalisé, quand il est nécessaire ou choisi par précaution, coûte généralement entre 1 500 et 5 000 euros par an pour une PME, une fraction de la fourchette d’amendes réellement appliquée par l’autorité belge aux petites structures.
Le coût de se tromper est asymétrique. Un premier manquement mineur et corrigé tend à donner lieu à un avertissement. Un manquement répété ou ignoré s’aggrave vers les amendes qui font les titres. Les entreprises qui dépensent le moins dans le temps sont celles qui traitent la cartographie et la documentation comme un entretien de routine, pas celles qui attendent un incident pour commencer.
Conclusion
Le RGPD est une exigence opérationnelle permanente construite autour d’une seule question : l’entreprise peut-elle montrer, pour chaque donnée personnelle qu’elle détient, pourquoi elle la détient, où elle vit, et qui d’autre peut y accéder. Une politique de confidentialité que personne ne vérifie contre la réalité ne répond à rien de tout cela, même si elle a l’air professionnelle.
Les entreprises réellement à risque ne sont pas celles dont la documentation est imparfaite, ce sont celles qui n’ont jamais cartographié leurs flux de données réels et qui découvriraient les trous seulement lors d’un audit ou après une violation. Cartographier ce flux une fois, honnêtement, est un projet plus petit que ce que la plupart des entreprises imaginent, et c’est le levier le plus rentable disponible.
