Données personnelles en PME : les réflexes RGPD

Vous conservez des noms, des numéros de téléphone ou des historiques de commandes dans votre PME et vous vous demandez ce que le RGPD change pour vous. La réponse tient en trois repères que vous pouvez appliquer dès maintenant : ce qui compte comme donnée personnelle, ce qui compte comme traitement et quels organismes sont concernés.

Ce qu’une donnée personnelle recouvre dans votre quotidien

La notion a une acception très large et vous la rencontrez dans des gestes courants : un nom et un prénom identifient directement une personne, tandis qu’un numéro de client, un numéro de téléphone, une donnée biométrique, la voix ou l’image permettent de l’identifier indirectement. La page cite aussi plusieurs éléments spécifiques relatifs à l’identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

L’identification peut tenir à une seule donnée, comme le numéro de sécurité sociale ou l’ADN, ou au croisement d’un ensemble de données, comme une femme vivant à telle adresse, née tel jour, abonnée à tel magazine et militante dans telle association. Dans le même esprit, une base marketing qui décrit la localisation, l’âge, les goûts et les comportements d’achat reste un ensemble de données personnelles, même sans nom stocké, dès lors qu’il demeure possible de remonter à une personne déterminée.

Pourquoi un fichier sans nom peut déjà vous engager ?

Vous pourriez croire qu’un tableau sans colonne de nom sort du sujet, mais le raisonnement porte sur le résultat : si vos informations permettent de retrouver une personne physique, vous manipulez des données personnelles. C’est le cas de la base marketing évoquée plus haut, riche en détails sur les lieux, les âges et les achats. Vous devez donc examiner vos extractions, vos listes de prospection et vos statistiques avec une question simple : une combinaison d’indices conduit-elle encore à quelqu’un ?

Un traitement suppose toujours un objectif précis

Un traitement ne se résume pas à un logiciel : il désigne toute opération ou tout ensemble d’opérations sur des données personnelles, quel que soit le procédé, de la collecte à l’enregistrement, de l’organisation à la conservation, de l’adaptation à l’extraction, de la consultation à l’utilisation, jusqu’à la communication par transmission ou toute autre mise à disposition et au rapprochement. Vous effectuez ainsi un traitement quand vous tenez un fichier de clients, quand vous collectez des coordonnées de prospects par questionnaire ou quand vous mettez à jour un fichier de fournisseurs.

Chaque traitement demande un objectif déterminé, licite et légitime au regard de votre activité, car vous ne pouvez pas collecter des données simplement au cas où elles serviraient un jour. Quand vous livrez, quand vous éditez une facture ou quand vous proposez une carte de fidélité, vous collectez de nombreuses informations pour la gestion de votre clientèle : cet objectif donne son cadre à vos opérations. Le contenu attendu d’un cahier des charges vous aide à formuler ce cadre quand un outil manipule ces fichiers.

Le papier et le numérique suivent les mêmes règles

Un traitement n’est pas nécessairement informatisé : vos classeurs papier sont concernés et ils exigent la même protection que vos bases. En revanche, un fichier qui ne contient que des coordonnées d’entreprises, par exemple la société « Compagnie A » avec son adresse postale, le numéro de son standard et un courriel générique de contact, ne constitue pas un traitement de données personnelles. Cette distinction vous permet de distinguer dans vos dossiers les documents qui renvoient à des personnes de la documentation strictement professionnelle.

Vous pouvez vérifier ces définitions dans la présentation du RGPD par la CNIL avant de répartir vos dossiers entre données personnelles et informations d’entreprise.

Ce tri évite deux écueils : protéger comme des données personnelles des contacts génériques qui n’en sont pas, ou laisser sans protection des feuilles qui identifient des clients, des prospects ou des membres de votre équipe. Vous obtenez ainsi une vue claire de ce qui relève vraiment de vos obligations.

Que recouvre le sigle RGPD ?

Le sigle signifie Règlement général sur la protection des données, en anglais General Data Protection Regulation ou GDPR, et il encadre le traitement des données personnelles sur le territoire de l’Union européenne. Le contexte juridique suit ainsi les évolutions des technologies et de vos usages, avec l’essor du numérique et du commerce en ligne. Ce règlement s’inscrit dans la continuité de la loi française Informatique et Libertés de 1978 et il renforce le contrôle des citoyens sur l’utilisation de leurs données.

Il harmonise les règles en Europe en offrant aux professionnels un cadre juridique unique, qui permet de développer les activités numériques au sein de l’Union en se fondant sur la confiance des utilisateurs. La Commission européenne rappelle que la protection des données constitue un droit fondamental du droit de l’Union et que son dispositif comprend le RGPD, la directive pour la police et la justice et le règlement propre aux institutions européennes. Elle précise que seul le texte du RGPD crée des droits et des obligations et que l’interprétation contraignante relève de la Cour de justice de l’Union européenne.

Votre PME belge est-elle concernée ?

Tout organisme peut être concerné, quels que soient sa taille, son pays d’implantation et son activité, dès lors qu’il traite des données personnelles pour son propre compte ou pour le compte d’autrui. Le texte vise toute organisation publique ou privée établie sur le territoire de l’Union européenne, ou dont l’activité cible directement des résidents européens. Une société établie en France qui exporte l’ensemble de ses produits au Maroc pour des clients moyen-orientaux doit ainsi respecter le RGPD, tout comme une société établie en Chine qui propose un site de commerce en ligne en français avec livraison en France.

Le texte concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres organismes. Si vous traitez ou collectez des données pour le compte d’une autre entité, entreprise, collectivité ou association, vous avez des obligations spécifiques pour garantir la protection des données confiées. Quand vos équipes et un prestataire partagent les opérations, cette lecture à deux niveaux vous aide à situer qui décide de la finalité et qui exécute : le guide sur la sécurité et le pilotage éclaire ce partage des rôles pour vos données.

Quels réflexes adopter sans vous disperser ?

Vous pouvez traduire ce cadre en mesures simples : formuler pour chaque fichier une finalité lisible, recenser vos supports papier et numériques, et clarifier avec chaque sous-traitant ce qui lui est confié. La page de la CNIL ne publie pas de barème ni de modèle prêt à remplir. La Commission européenne a financé des campagnes de sensibilisation, des formations et des outils concrets pour aider les petites et moyennes entreprises à appliquer ces règles, et elle a proposé en mai 2025 des ajustements ciblés sur la tenue des registres pour les structures de moins de 750 employés.

Ces ajustements étendent la dérogation prévue à l’article 30, paragraphe 5, et ne demandent à ces structures de tenir des registres que lorsque le traitement peut être considéré comme à haut risque, sans modifier le reste du règlement et en conservant une approche fondée sur les risques. Le RGPD est entré en vigueur le 24 mai 2016 et il est applicable depuis le 25 mai 2018, après une adoption le 27 avril 2016. Vous pouvez donc organiser votre revue de fichiers sur ce cadre stable : un objectif par traitement, une protection identique pour le papier, et un point écrit avec tout intervenant qui manipule des données pour vous.

La page citée : la CNIL tient la page « RGPD : de quoi parle-t-on ? » datée du 10 avril 2018. Elle y définit la donnée personnelle et le traitement, elle y présente le sens du RGPD et les organismes visés. Elle y joint un guide de sensibilisation pour les petites et moyennes entreprises et trois fiches sur la vente en ligne, la relation client et les données des collaborateurs. Vous pouvez la consulter pour confronter vos fichiers à ces définitions avant votre prochaine revue.