Le RGPD s'applique-t-il à mon entreprise ?
Oui, dans pratiquement tous les cas. Le Règlement général sur la protection des données ne connaît pas de seuil en matière de chiffre d'affaires, d'effectif ou de secteur. Dès lors que votre entreprise traite des données à caractère personnel, comme des noms, des adresses de courrier électronique ou des données salariales, le règlement s'applique à ce traitement. Cela vaut tout autant pour une entreprise individuelle avec un seul client que pour une entreprise d'installation comptant cinquante collaborateurs.
La différence avec des règlementations telles que NIS2, la CSRD ou la norme VSME est que celles-ci fonctionnent avec des seuils de taille d'entreprise ou de secteur. Le RGPD fonctionne différemment : ce n'est pas la taille de votre entreprise qui est déterminante, mais la question de savoir si des données à caractère personnel sont traitées et de quelle manière. De ce fait, le RGPD s'applique en pratique à pratiquement chaque entreprise, même si cela ne semble pas toujours être le cas.
Ce que le règlement entend par données à caractère personnel
Le RGPD définit les données à caractère personnel comme toute information concernant une personne physique identifiée ou identifiable. C'est plus large que ce que beaucoup d'entrepreneurs pensent. Une liste d'adresses de clients, un dossier de personnel, une lettre de candidature qui se trouve encore dans la boîte de courrier, ou des images de vidéosurveillance à l'entrée : tout cela en relève. Même un travailleur indépendant qui n'envoie que des factures avec nom et adresse traite déjà des données à caractère personnel.
Le règlement établit une distinction entre le responsable du traitement, qui détermine pourquoi et comment les données sont traitées, et le sous-traitant, qui le fait au nom d'un tiers. Un cabinet de paie est par exemple un sous-traitant pour les données salariales de votre personnel, tandis que vous êtes vous-même responsable du traitement. Le rôle qui s'applique à votre entreprise et les obligations qui en découlent varient selon la situation et c'est l'autorité de contrôle et un juriste qui peuvent vous donner une réponse définitive.
Pourquoi ce sujet réapparaît dans le questionnaire de votre client
Les donneurs d'ordre demandent de plus en plus souvent à leurs fournisseurs non seulement des informations sur la durabilité ou la cybersécurité, mais aussi sur le traitement des données à caractère personnel. Cela se produit par exemple lorsque vous traitez au nom de votre client des données de ses collaborateurs ou de ses clients finaux, ou lorsque vous avez accès à des systèmes contenant ce type de données. Dans ce cas, le donneur d'ordre souhaite savoir s'il existe un contrat de sous-traitance, si un registre des traitements est tenu à jour et comment une violation de données est signalée.
Ces questions recoupent souvent la liste de contrôle de la cybersécurité, car la sécurité de l'information et la protection des données sont étroitement liées dans la pratique. Une entreprise qui fournit des logiciels ou des services administratifs à ses clients rencontre ces questions plus souvent qu'une entreprise d'installation qui effectue principalement du travail physique. Quiconque rencontre régulièrement ce type de questions dans différents formats de différents clients peut consulter la base de connaissances par sujet pour connaître le contexte d'une telle question et où trouver le texte officiel.
Ce que cela signifie en pratique
Le RGPD impose-t-il des obligations spécifiques telles qu'un délégué à la protection des données, un contrat de sous-traitance ou un registre des traitements dépend de la nature et de l'ampleur du traitement au sein de votre entreprise. Ce n'est pas une question à laquelle on peut répondre de manière générale ; le règlement lui-même et les lignes directrices de l'autorité de contrôle nationale fournissent les critères à cet effet. Pour la plupart des PME, le point de départ est simple : dresser un inventaire des données à caractère personnel qui sont traitées, par qui et à quelles fins.
Cet aperçu est également utile quand un donneur d'ordre vous en demande des nouvelles. Conservez les documents tels qu'un contrat de sous-traitance ou une déclaration de confidentialité dans un endroit fixe, afin de ne pas devoir les rechercher à chaque fois. Vous trouverez sur la page sur la façon dont cela fonctionne au sein d'un seul dossier de chaîne et comment les données qui s'y trouvent sont sécurisées comment les données et la vie privée sont protégées.
Souhaitez-vous d'abord voir quelles listes de contrôle et quels sujets sont pertinents pour votre entreprise, notamment la question de savoir si la protection des données y joue un rôle ? Effectuez le contrôle gratuit en quelques questions pour une première indication, ou consultez réponses aux questions fréquemment posées comment d'autres entrepreneurs gèrent cela. Pour votre situation personnelle, il reste judicieux de consulter l'autorité de surveillance compétente ou un juriste en cas de doute.