En tant qu'expert de longue date en matière de confidentialité des données, je comprends que la mise en conformité avec le règlement général sur la protection des donnéesRGPD puisse submerger les petites entreprises.
L'ignorer peut entraîner une perte de confiance de la part des clients, des problèmes juridiques et des amendes potentielles. Toutefois, en adoptant la bonne approche, vous pouvez vous mettre en conformité avec le RGPD sans avoir recours à une équipe juridique ou à un budget important.
Dans cette liste de contrôle, je vous présente les exigences duRGPD et les étapes à suivre pour que votre petite entreprise puisse commencer à s'y conformer.
Liste de contrôle RGPD pour les petites entreprises
Vous trouverez ci-dessous ma liste de contrôle RGPD pour les petites entreprises, avec des liens vers les sections pertinentes de la loi, afin de simplifier vos efforts de mise en conformité.
Étape 1. Comprendre ses responsabilités
Avant d'agir, déterminez si et comment le RGPD s'applique à votre entreprise.
Vérifiez si le RGPD s'applique à votre petite entreprise.
Si votre entreprise se trouve dans l'Union européenne (UE) ou dans l'Espace économique européen (EEE), ou si vous êtes situé ailleurs mais que vous recueillez des données à caractère personnel auprès d'individus dans l'UE/EEE, vous devez respecter le RGPD (chapitre 1, article 3).
Sachez si vous êtes un responsable du traitement des données ou un sous-traitant.
Le RGPD classe les entreprises en tant que responsables du traitement ou sous-traitants: Le responsable du traitement détermine comment et pourquoi les données sont collectées, tandis que le sous-traitant traite les données pour le compte du responsable du traitement(chapitre 1, article 4).
Déterminez si vous avez besoin d'un délégué à la protection des données (DPD).
Un DPD est désigné par une entreprise pour veiller à ce qu'elle respecte les lois sur la protection des données(chapitre 4, article 37).
Le RGPD exige un DPD pour les entreprises qui :
- sont des organisations gouvernementales ou publiques.
- Traiter des informations sensibles à grande échelle.
Par exemple, si vous gérez un hôpital, vous aurez probablement besoin d'un DPD en raison du traitement fréquent de données relatives aux patients, telles que les dossiers médicaux, les antécédents médicaux et l'identification des patients.
Ce type de données est classé comme sensible et son traitement nécessite des protections accrues pour préserver la vie privée des patients.
Étape 2. Procéder à un audit de la protection de la vie privée sur votre site web
Un audit de protection de la vie privée permet de déterminer quelles données sont collectées, où elles sont stockées et comment elles sont partagées.
Sachez quelles données vous collectez et où elles sont stockées.
Identifiez toutes les données personnelles collectées par votre entreprise, y compris les coordonnées des clients et les données analytiques.
Déterminez la base juridique de votre collecte de données.
En vertu du RGPD, les entreprises doivent disposer d'une base légale pour collecter et utiliser des données à caractère personnel. Pour garantir la conformité, vous devrez documenter la base juridique de chaque type de données collectées(chapitre 2, article 6).
Les six bases juridiques du RGPD sont les suivantes :
- Consentement: Vous publiez une lettre d'information et demandez aux utilisateurs de donner leur consentement en fournissant leur adresse électronique pour de futures communications marketing.
- Obligations contractuelles: Vous exploitez une société de logiciels et collectez des données sur les utilisateurs afin de respecter les conditions d'un abonnement ou d'un contrat de service.
- Obligations légales : En tant que conseiller fiscal, vous recueillez des informations sur vos clients afin de vous conformer aux exigences légales en matière de déclaration d'impôts.
- Intérêts vitaux: Si vous êtes un prestataire de soins de santé, vous collectez des données médicales pour protéger les intérêts vitaux de vos patients pendant un traitement d'urgence.
- Tâche publique: si vous êtes une agence gouvernementale, vous collectez des données à caractère personnel pour remplir des fonctions nécessaires au bien public.
- Intérêts légitimes: En tant que magasin de détail, vous collectez des données à des fins de marketing, en supposant que les clients ont une relation existante avec votre entreprise.
Étape 3. Obtenir l'autorisation de collecter et d'utiliser les données
Si le consentement est votre base juridique pour le traitement des données des consommateurs, vous devez obtenir l'accord explicite et légal des utilisateurs avant de collecter leurs données personnelles.
Demandez un consentement explicite.
Vous devez demander le consentement en utilisant un "langage clair et simple"(chapitre 2, article 7, et chapitre 3, article 12). Les utilisateurs doivent accepter activement la collecte de données (par exemple, au moyen d'une bannière deconsentement aux cookies ).
Permettre aux personnes de retirer leur consentement à tout moment.
Les utilisateurs doivent être informés de leur droit de se rétracter avant de donner leur consentement, et il doit être aussi facile de se rétracter que de donner son consentement(chapitre 2, article 7).
Votre site web doit offrir aux utilisateurs un moyen simple de demander une copie de leurs données, d'en demander l'effacement et de modifier leurs préférences(chapitre 3, article 15 et article 17).
Étape 4. Créer une bannière de consentement conforme
Une bannière de consentement aux cookies RGPD informe vos clients de la collecte de données et leur permet de choisir avant que des cookies ne soient stockés sur leurs appareils.
Votre bannière de consentement doit
- Indiquez clairement que votre site web utilise des cookies.
- Expliquer l'objectif de la collecte de données (par exemple, analyse, marketing).
- Fournir un lien vers votre politique de politique de cookies et votre politique de confidentialité.
Proposer des choix clairs
Vous devez permettre aux utilisateurs d'accepter tous les cookies, de rejeter tous les cookies non essentiels et de personnaliser leurs préférences en matière de cookies. Les cases pré-cochées ne sont pas autorisées par le RGPD (considérant 32).
Étape 5. Conserver des traces du consentement et du traitement des données
Le RGPD vous oblige à documenter le consentement de l'utilisateur, que les autorités peuvent demander(chapitre 4, article 30).
Enregistrer correctement le consentement de l'utilisateur
Conservez des dossiers indiquant quand et comment le consentement a été obtenu, ce qui a été dit aux utilisateurs au moment du consentement et toute mise à jour des préférences.
Tenir un registre de traitement des données
Votre registre de traitement des données doit comprendre
- Types de données collectées.
- Objet du traitement.
- Emplacements de stockage des données.
- Tout accord de partage de données avec des tiers.
La plateforme de gestion du consentement (CMP) de Termlyvous aide à accomplir ces tâches en vous permettant de capturer, de gérer et de stocker les enregistrements de consentement des utilisateurs.
Étape 6. Publier et maintenir une politique de confidentialité claire et accessible
Une politique de confidentialité RGPD garantit la transparence sur la manière dont votre petite entreprise traite les données personnelles en incluant des éléments clés en matière de confidentialité(chapitre 3, article 13 et article 14). Veillez à ce que votre politique de confidentialité soit facilement accessible sur votre site web.
Votre politique en matière de protection de la vie privée doit clairement indiquer ce qui suit :
- Identité et coordonnées du responsable du traitement ou de l'entreprise
- Coordonnées du délégué à la protection des données (DPD), le cas échéant
- Finalité et base juridique du traitement
- Catégories de données personnelles collectées
- Destinataires des données
- Transferts internationaux de données
- Politique de conservation des données
- Droits des personnes concernées et comment les exercer
Étape 7. Assurer la conformité avec les responsables du traitement des données
En vertu du chapitre 4, article 28, les responsables du traitement des données (votre entreprise) doivent avoir un contrat juridiquement contraignant avec tous les sous-traitants (fournisseurs tiers qui traitent les données en votre nom).
Ce contrat est connu sous le nom d'accord sur le traitement des données (DPA).
Par exemple, si vous dirigez une agence de marketing qui utilise des plateformes tierces de marketing par courriel pour envoyer des lettres d'information, vous devez obtenir une DPA.
La plateforme traite des données personnelles, telles que les noms des clients, les adresses électroniques, et potentiellement d'autres informations telles que les données démographiques.
Le RGPD définit les responsabilités de la plateforme en matière de protection de ces données, en précisant comment elles peuvent être utilisées, stockées et protégées.
Établir un DPA qui décrit :
- Portée et finalité du traitement des données
- Obligations de confidentialité
- Mesures de sécurité
- Exigences relatives aux sous-traitants
- Comment les données sont-elles traitées si le partenariat prend fin ?
- Dispositions relatives à l'audit et à la conformité
Étape 8. Exigences en matière de sécurité des données
Intégrez la protection de la vie privée et la sécurité dans vos processus opérationnels afin de protéger les données à caractère personnel contre l'accès non autorisé, la perte ou l'utilisation abusive(chapitre 4, article 25 et article 32).
Assurez vos systèmes et vos processus :
- Minimiser la collecte de données
- Restreindre l'accès
- Utiliser le cryptage et la pseudonymisation
- Assurer une surveillance continue de la sécurité
- Permettre le contrôle par l'utilisateur
En intégrant ces mesures de protection, les entreprises se conforment aux principes de protection de la vie privée dès la conception et réduisent le risque de violation des données.
Étape 9. Réviser et mettre à jour régulièrement les mesures de conformité
La conformité au RGPD est un processus qui nécessite des mises à jour régulières, et la charge de la preuve incombe à votre entreprise.
Effectuer des contrôles de conformité périodiques.
Examinez votre consentement aux cookies , votre politique de confidentialité et les accords avec les tiers.
Il est essentiel de se tenir informé des exigences RGPD pour s'assurer que votre petite entreprise reste conforme au fur et à mesure de l'apparition de nouvelles orientations.
L'impact du RGPD sur les petites entreprises
Ensuite, j'examinerai de plus près l'impact du RGPD sur les petites entreprises afin que vous puissiez plus facilement comprendre, utiliser et appliquer la liste de contrôle.
Qu'est-ce que le RGPD?
Le RGPD est une loi sur la confidentialité des données qui régit la manière dont les entreprises collectent, stockent et utilisent les informations personnelles des individus dans l'UE/EEE.
Champ d'application du RGPD
Toutes les entreprises de l'UE/EEE doivent se conformer au RGPD.
Les entreprises situées en dehors de l'UE/EEE doivent également s'y conformer si elles proposent des biens ou des services à des personnes de l'UE/EEE ou si elles surveillent leur comportement.
Exigences du RGPD pour les petites entreprises
Pour votre petite entreprise, se conformer au RGPD implique plusieurs exigences clés :
- Créez une politique de confidentialité qui précise les données personnelles que vous collectez, les raisons pour lesquelles vous les collectez, la durée de conservation des données et les droits des utilisateurs sur leurs informations.
- Si le consentement est votre base juridique, obtenez le consentement explicite des utilisateurs avant de collecter des données en affichant une bannière de consentement qui permet aux utilisateurs d'accepter, de rejeter ou de modifier les cookies.
- Établissez un accord de traitement des données (ATD) avec tous les fournisseurs qui traitent des données en votre nom, couvrant l'étendue du traitement, la confidentialité, le traitement des données, etc.
Les bonnes pratiques RGPD pour les petites entreprises
Je recommande les meilleures pratiques suivantes aux petites entreprises qui souhaitent se RGPD:
- Déterminez si RGPD s'applique à votre entreprise avant de prendre des mesures.
- Réalisez un audit de la protection de la vie privée afin d'identifier les données personnelles que vous collectez, l'endroit où elles sont stockées et la manière dont elles sont partagées.
- Connaissez votre base juridique pour la collecte des données et informez les utilisateurs dans un avis de confidentialité conforme.
- Révisez et mettez à jour vos politiques en matière de cookies et de protection de la vie privée.
Pour simplifier les efforts de mise en conformité, travaillez avec Termly pour publier et réviser régulièrement votre politique de confidentialité et votre bannière de consentement.
Amendes et sanctions en cas d'infraction au RGPD
Le règlement prévoit deux niveaux d'amendes en fonction de la gravité de la violation au chapitre 8, article 83 :
- Jusqu'à 10 millions d'euros ou 2 % de votre chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu) pour des infractions moins graves, comme le fait de ne pas tenir de registres appropriés des activités de traitement des données.
- Jusqu'à 20 millions d'euros ou 4 % de votre chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu) pour des violations plus graves, telles que l'absence de consentement valable pour la collecte de données ou le non-respect des droits des personnes concernées.
Ces sanctions sont conçues pour s'assurer que vous prenez la protection des données au sérieux et que vous respectez scrupuleusement le RGPD.
Conformité SOC 2
System and Organization Controls 2 (SOC 2) est un cadre de conformité volontaire créé par l'American Institute of Certified Public Accountants (AICPA).
Bien qu'elle ne soit pas exigée par le RGPD, son adoption témoigne de votre engagement en faveur de la protection des données.
La conformité à la norme SOC 2 est généralement vérifiée par un audit indépendant, et vous pouvez partager le rapport avec vos clients afin d'instaurer la confiance et de faire preuve de transparence.
Pour plus d'informations, consultez la page SOC2 de l'AICPA.
Conseils de conformité pour les petites entreprises
Rester en conformité avec le RGPD et d'autres lois sur la confidentialité des données peut s'avérer difficile, en particulier pour les petites entreprises disposant de ressources limitées.
Voici mes conseils pratiques pour vous assurer que vous êtes sur la bonne voie :
- Conseil 1 : Utilisez les solutions de Termly. L'utilisation d'outils et de générateurs en ligne tels que TermlyGénérateur de politique de confidentialité de Termly vous permet de gagner du temps et de respecter les exigences légales.
- Conseil n° 2 : limitez les données que vous collectez. Ne collectez que les données dont vous avez besoin, comme l'exige le RGPD. Limitez-vous à la collecte des données nécessaires pour atteindre les objectifs spécifiques exprimés aux consommateurs dans votre politique de confidentialité RGPD .
- Conseil n° 3 : mettez en œuvre des mesures de sécurité solides. La protection des données de vos clients est exigée par le RGPD. Investissez donc dans des mesures de sécurité telles que le cryptage, les pare-feu et les mots de passe sécurisés afin de réduire la probabilité d'une violation.
- Conseil n° 4 : consulter un expert en protection des données. Si vous n'êtes pas sûr des spécificités de la conformité, envisagez de vous adresser à un expert en matière de confidentialité des données. Il pourra vous guider tout au long du processus, en particulier si plusieurs lois s'appliquent à votre petite entreprise.
Ces conseils peuvent rendre la RGPD plus facile à gérer et démontrer l'engagement de votre petite entreprise à protéger les données de ses clients.
Comment Termly aide les petites entreprises à se conformer au RGPD
Nous savons que la mise en conformité peut être difficile, en particulier pour les petites entreprises disposant de peu de ressources. C'est pourquoi nous proposons des solutions pour répondre aux exigences du RGPD .
Avec notre Générateur de politique de confidentialitévous pouvez créer une politique de confidentialité personnalisée, juridiquement étayée et comportant des clauses conformes aux normes RGPD .
Notre plateforme de gestion du consentement (CMP) vous permet de mettre en place facilement une bannière de consentement aux cookies RGPD et d'enregistrer les préférences afin de gérer et de suivre efficacement le consentement des utilisateurs.
Il comprend également un formulaire gratuit de demande d'accès aux données par la personne concernée (DSAR), ce qui vous permet de proposer un formulaire permettant aux utilisateurs de soumettre facilement des demandes d'accès, de correction, de suppression ou de transfert de leurs données à caractère personnel.
Pour plus de détails, explorez la suite de solutionsRGPD de Termlyet faites le premier pas pour vous assurer que votre entreprise est équipée pour gérer le RGPD et d'autres réglementations sur la confidentialité des données.
Je comprends que la mise en conformité avec RGPD peut sembler difficile à gérer.
Entre la gestion du consentement aux cookies, la mise à jour de votre politique de confidentialité et l'assurance que vous traitez correctement les données des utilisateurs, il est facile de se sentir bloqué.
Mais vous ne devez pas vous y attaquer seul.
Avec Termly, vous pouvez automatiser les tâches les plus lourdes, de la mise en place d'une bannière de consentement à la création de politiques et à la gestion des préférences des utilisateurs, afin que vous puissiez vous concentrer sur la gestion de votre entreprise.
Avertissement : des outils automatisés comme Termly peuvent simplifier la mise en conformité, mais il convient de consulter un professionnel du droit pour s'assurer de la conformité avec les exigences nuancées du RGPD.
En savoir plus sur l'auteur
Écrit par Natasha Piirainen
Natasha Piirainen est une rédactrice spécialisée dans la protection de la vie privée. Elle est titulaire d'une licence en anglais et philosophie du Wheaton College et possède plus de 10 ans d'expérience professionnelle dans le développement de contenus axés sur la recherche.
En savoir plus sur l'auteur
Révisé par Masha Komnenic CIPP/E, CIPM, CIPT, FIP Directrice de la protection de la vie privée au niveau mondial
