Le Règlement général sur la protection des données (RGPD) s'applique depuis 2018 à toutes les organisations qui traitent des données personnelles, quelle que soit leur taille. Pour une PME, cela concerne les données des clients, des prospects, des fournisseurs et des collaborateurs. Le RGPD est parfois perçu comme une contrainte purement administrative, mais il comporte un volet sécurité très concret : protéger les données que l'on vous confie. Cet article résume les points essentiels de manière générale ; pour les questions précises, l'Autorité de protection des données (APD, ou GBA en néerlandais) publie des informations et des outils destinés aux PME.
Le principe : une sécurité appropriée au risque
Le RGPD n'impose pas une liste figée de technologies. Il demande de mettre en place des mesures techniques et organisationnelles appropriées, en tenant compte de l'état des connaissances, des coûts, de la nature des données et des risques pour les personnes concernées. Autrement dit, une PME qui traite des données de santé ou des données financières doit aller plus loin qu'une structure qui ne gère que des coordonnées professionnelles.
Le texte cite quelques exemples de mesures : le chiffrement, la capacité à garantir la confidentialité et la disponibilité des systèmes, la capacité à rétablir l'accès aux données en cas d'incident, et une procédure pour tester régulièrement l'efficacité des mesures.
Les mesures de sécurité de base
Pour la plupart des PME, une sécurité appropriée passe par des mesures bien connues :
- contrôle des accès : chaque collaborateur n'accède qu'aux données dont il a besoin, avec des comptes individuels ;
- authentification multifacteur sur la messagerie et les applications contenant des données personnelles ;
- chiffrement des ordinateurs portables, des smartphones et des sauvegardes ;
- sauvegardes régulières et testées, pour garantir la disponibilité ;
- mises à jour des systèmes et logiciels ;
- sensibilisation du personnel, notamment au phishing et à l'envoi d'e-mails au mauvais destinataire ;
- suppression sécurisée des données et des supports en fin de vie.
Les obligations documentaires utiles
La sécurité s'appuie aussi sur une bonne connaissance de ses données. Plusieurs éléments sont à prévoir :
- Le registre des activités de traitement : il recense les traitements, leurs finalités, les catégories de données, les durées de conservation et les mesures de sécurité. Le RGPD prévoit certaines exemptions pour les petites structures, mais elles sont limitées ; dans la pratique, tenir un registre reste fortement conseillé.
- Les contrats avec les sous-traitants : votre hébergeur, votre fournisseur de messagerie, votre logiciel de comptabilité en ligne ou votre prestataire informatique traitent des données pour votre compte. Un contrat ou des clauses conformes au RGPD doivent encadrer cette relation.
- Les durées de conservation : ne conservez pas les données plus longtemps que nécessaire. Moins de données, c'est aussi moins de risques.
- Le délégué à la protection des données : il n'est obligatoire que dans certains cas, par exemple pour le traitement à grande échelle de données sensibles. Vérifiez votre situation.
En cas de fuite de données
Une violation de données personnelles ne se limite pas au piratage : un ordinateur portable volé, un e-mail envoyé au mauvais destinataire ou un ransomware sont aussi des violations. Le RGPD prévoit plusieurs obligations :
- documenter toute violation en interne, quelle que soit sa gravité ;
- notifier l'APD dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes ;
- informer les personnes concernées lorsque le risque est élevé.
Le chiffrement joue ici un rôle important : si un ordinateur portable volé était correctement chiffré, le risque pour les personnes peut être fortement réduit. Préparez à l'avance une procédure simple : qui évalue l'incident, qui décide de la notification, où trouver le formulaire de l'APD.
Une démarche continue
La conformité au RGPD n'est pas un projet ponctuel mais une démarche d'amélioration continue. Un audit digital permet d'identifier où se trouvent vos données et quelles mesures de sécurité les protègent réellement. Les solutions de sauvegarde chiffrée et la sensibilisation des équipes répondent ensuite à des exigences concrètes du règlement.
Le RGPD et la cybersécurité poursuivent le même objectif : protéger les personnes et la confiance qu'elles vous accordent. En sécurisant vos systèmes, vous faites un grand pas vers la conformité, et inversement.
