L’idée reçue
“Nous avons tout migré dans le cloud, donc nous sommes couverts par le RGPD. Les données sur notre serveur local et dans nos classeurs ? Ce n’est pas du territoire RGPD.”
Cette idée reçue naît de l’association entre RGPD et technologie. Parce que le RGPD est souvent discuté dans le contexte des sites web, des cookies et des services cloud, beaucoup d’entrepreneurs concluent qu’il ne s’applique qu’aux données numériques dans le cloud.
Mais le RGPD est technologiquement neutre.
Ce que dit réellement la loi
Le RGPD s’applique au traitement de données personnelles “automatisé en tout ou en partie” ET au “traitement non automatisé de données personnelles contenues ou appelées à figurer dans un fichier”.
Cette dernière partie est cruciale. Un fichier est tout ensemble structuré de données personnelles accessibles selon des critères spécifiques. Votre classeur avec les dossiers clients classés alphabétiquement ? C’est un fichier. Votre tiroir de bureau avec les contrats du personnel triés par département ? Fichier aussi.
Où se trouvent réellement les données personnelles dans votre entreprise
Sur papier
- Dossiers du personnel dans des classeurs
- Fiches clients ou bons de commande
- Contrats signés avec noms et adresses
- Notes de réunions avec des détails personnels
- Cartes de visite collectées lors d’événements
Sur les systèmes locaux
- Tableurs sur votre ordinateur
- Documents sur votre serveur local
- E-mails stockés localement
- Documents scannés sur des lecteurs partagés
Dans le cloud
- Système CRM
- Messagerie cloud (Gmail, Outlook 365)
- Logiciel de comptabilité
- Plateformes RH
Dans des endroits moins évidents
- Messages WhatsApp sur les téléphones professionnels
- Enregistrements vocaux du service client
- Images de vidéosurveillance
- Données GPS des véhicules de société
Le RGPD couvre tout cela. Le support n’a pas d’importance - c’est le contenu qui compte.
Ce que vous devez faire
1. Inventoriez tout
Ne cartographiez pas uniquement vos systèmes numériques. Incluez les archives papier, les fichiers locaux et les sources de données moins évidentes dans votre registre des traitements.
2. Sécurisez les dossiers papier
Rangez les documents papier contenant des données personnelles dans des armoires fermées à clé. Limitez l’accès à ceux qui en ont besoin. Détruisez les documents quand la période de conservation expire.
3. N’oubliez pas les appareils locaux
Chiffrez les ordinateurs portables et les disques externes. Protégez par mot de passe les fichiers locaux contenant des données personnelles. Incluez les systèmes locaux dans votre stratégie de sauvegarde.
4. Nettoyez les vieilles archives
Vérifiez les vieux dossiers papier et archives locales. Si vous stockez des données personnelles dont vous n’avez plus besoin, détruisez-les de manière sécurisée.
GDPRWise vous aide a constituer un registre des traitements complet couvrant toutes les donnees personnelles - numeriques et physiques.