Guide RGPD
RGPD et logiciels en ligne : ce qu’une PME doit vérifier
Clients, prospects, salariés, fournisseurs : toute entreprise traite des données personnelles. Chaque logiciel en ligne qui les héberge ou les traite pour vous est un sous-traitant au sens du RGPD, et c’est à vous de vérifier ses garanties.
Le registre des traitements
Le registre décrit vos traitements de données : pour quoi faire, quelles données, pour combien de temps, dans quel outil, qui y a accès. Il sert de base à tout le reste et c’est le premier document demandé en cas de contrôle ou de question d’un grand client. Le parcours Complet d’EDN en fournit une trame préremplie à partir de vos réponses.
Le contrat de traitement des données (DPA)
L’article 28 du RGPD impose un contrat entre vous et chaque sous-traitant. Il figure souvent en annexe des conditions du fournisseur (« Data Processing Addendum »). Il doit notamment préciser l’objet et la durée du traitement, les données concernées, les mesures de sécurité, la liste des sous-traitants ultérieurs, l’aide apportée en cas de fuite ou de demande d’une personne, et le sort des données en fin de contrat.
Où sont vos données ?
Vérifiez le pays d’hébergement, mais aussi celui du support technique et des sous-traitants. Hors de l’Union européenne, un transfert doit reposer sur une garantie reconnue : décision d’adéquation (par exemple le cadre UE–États-Unis pour les entreprises américaines certifiées) ou clauses contractuelles types. Un fournisseur soumis au droit américain peut par ailleurs être contraint de communiquer des données, même hébergées en Europe : pour des données très sensibles, un prestataire européen, voire qualifié SecNumCloud, peut être préférable. Voir la CNIL sur les transferts.
Choisir un cloud
Un cloud européen n’est pas automatiquement suffisant ; un grand fournisseur américain n’est pas automatiquement interdit. Le bon choix dépend de vos données, de vos clients et de votre capacité à administrer l’outil. Comparez sur des critères concrets :
- garanties écrites : DPA, liste des sous-traitants, localisation ;
- sécurité : double authentification, journaux de connexion, chiffrement ;
- continuité : sauvegarde séparée, possibilité de restaurer, engagement de disponibilité ;
- sortie : export complet dans un format lisible, clause de restitution ;
- coût total : abonnement, migration, formation, support, sauvegarde.
Les questions à poser à un fournisseur
- Où sont hébergées nos données, et depuis quels pays le support peut-il y accéder ?
- Pouvez-vous nous transmettre votre contrat de traitement des données (DPA) et la liste de vos sous-traitants ?
- Nos données ou nos échanges servent-ils à entraîner des modèles d’IA ? Peut-on s’y opposer ?
- Combien de temps conservez-vous nos données et vos journaux techniques ?
- Quelles mesures de sécurité appliquez-vous (chiffrement, double authentification, tests) ?
- Comment et sous quel délai nous prévenez-vous en cas de fuite de données ?
- Comment exporter l’intégralité de nos données, dans quel format, et à quel coût ?
- Que deviennent nos données à la fin du contrat, et sous quel délai sont-elles supprimées ?
Les parcours payants fournissent ce questionnaire au format Word, prêt à envoyer.
En cas de fuite de données
Une violation de données personnelles présentant un risque pour les personnes doit être notifiée à la CNIL dans les 72 heures. Décidez à l’avance qui évalue l’incident et qui notifie. Voir la CNIL.
Outil d’aide à la décision conçu et supervisé par Timo RAINIO, avocat au Barreau de Lyon : ni certification, ni audit, ni consultation juridique. Vos réponses restent dans votre navigateur.