10 étapes pour te mettre en conformité RGPD

Bonjour à tous, bienvenue sur la Bold Académy ! La mise en conformité RGPD (le Règlement européen sur la protection des données) peut paraître difficile d'approche. En réalité, ce sont toujours les mêmes étapes à appliquer et à bien documenter. Je te présente les 10 étapes de la mise en conformité.

Étape 1 — Cartographier les données collectées. Première question : quelles données personnelles collectes-tu, c'est-à-dire celles qui identifient, directement ou indirectement, des personnes physiques ? Cartographie et liste-les. Certaines sont évidentes (noms, prénoms, emails), d'autres beaucoup moins (l'adresse IP). Demande-toi qui est concerné (enfants, salariés, personnes vulnérables) et sur quel support tu les récupères : tout n'est pas numérique, tu peux aussi en collecter sur papier.

Étape 2 — Identifier et encadrer les données sensibles. Certaines données sont dites sensibles : état de santé, opinions politiques, appartenance syndicale, origine raciale, opinions religieuses. En principe, tu n'es pas autorisé à les traiter, sauf consentement explicite des personnes. C'est logique : une application recensant des personnes atteintes du VIH ne met pas en place les mêmes mesures de sécurité qu'une simple prise de rendez-vous.

Étape 3 — Le principe de minimisation. Une fois que tu sais quelles données tu collectes, définis l'objectif : tu ne dois collecter que les données nécessaires à cet objectif précis. Si ton service ne repose pas sur la géolocalisation, tu n'as pas besoin de la position de tes utilisateurs.

Étape 4 — Un fondement légal pour chaque traitement. En entreprise, la collecte prend la forme de fichiers (clients, leads, salariés) ; en RGPD, on les appelle des traitements. Chaque traitement doit reposer sur un fondement prévu par le RGPD : intérêt légitime, consentement, contrat. Ce choix a des conséquences pratiques : si le fondement est le consentement, tu dois techniquement en prévoir le recueil (la fameuse case à cocher).

Étape 5 — Une durée de conservation. Combien de temps gardes-tu ces données ? La durée doit être alignée sur l'objectif : on ne conserve pas indéfiniment. As-tu vraiment besoin de garder plus de 3 ans les données de leads jamais recontactés ? La valeur des données diminue avec le temps ; à l'échéance, mets en place des mécanismes de suppression ou d'anonymisation.

Étape 6 — Gérer les accès et la transmission. À qui transmets-tu ces données ? En interne, tout le monde n'a pas besoin de tout : restreins les accès via des profils d'habilitation. En externe, il s'agit de tes outils (hébergeur, CRM, emailing) ou partenaires : assure-toi qu'ils sont eux-mêmes conformes, et informe les utilisateurs (avec consentement si nécessaire) en cas de transmission à des partenaires. Attention aux transferts hors UE : mets en place des garde-fous ; si tu utilises un hébergeur américain, sélectionne la zone Union européenne, et privilégie au maximum des outils européens.

Étape 7 — Rédiger la politique de confidentialité. Toute cette cartographie sert à délivrer la bonne information aux personnes concernées, via le document d'information obligatoire qu'est la politique de confidentialité (on a fait une vidéo dédiée pour t'aider à la rédiger).

Étape 8 — Respecter et organiser le droit des personnes. Les utilisateurs ont des droits (suppression, modification, accès aux données ou aux emails les concernant). Quand tu reçois une demande, tu as 1 mois maximum pour répondre. À défaut, les personnes peuvent saisir la CNIL : prévois un processus interne écrit et une adresse email dédiée (ex. rgpd@societe.com).

Étape 9 — Désigner un point de contact ou un DPO. Identifie une personne ou un service dédié aux données personnelles, chargé de répondre aux utilisateurs et de gérer les contrôles de la CNIL. Dans certains cas spécifiques, tu as l'obligation légale de déclarer officiellement un DPO (Délégué à la protection des données) à la CNIL.

Étape 10 — Sécuriser les traitements et gérer les violations. Mets en place des mesures physiques et informatiques contre les accès non autorisés, la perte ou l'altération des données : journalisation des accès, systèmes d'habilitation, mots de passe forts, hébergeur certifié — proportionnés à la sensibilité des données. En cas de violation (piratage, fuite), aie un processus pour notifier la CNIL et, si le risque pour la vie privée est grave, avertir les personnes concernées.

À chaque étape, documente bien ton travail de réflexion. La compilation prend la forme d'un document obligatoire, le registre de traitement : c'est précisément ce que tu devras transmettre à la CNIL en cas de contrôle. Merci d'avoir regardé ! Abonne-toi, laisse un commentaire, ou réserve une session de mentoring gratuite avec l'équipe de Bold. À très bientôt !