Numérique

RGPD et protection des données pour les entreprises

Le RGPD n'impose pas à une PME de produire des classeurs de procédures. Il lui demande de savoir quelles données elle traite, pourquoi, avec qui elle les partage, et de pouvoir le démontrer.

Prendre rendez-vous +32 (0)494 14 11 96

Le règlement général sur la protection des données s'applique à toute entreprise qui traite des données personnelles : clients, prospects, travailleurs, candidats, fournisseurs. Pour une PME, l'enjeu n'est pas d'atteindre une conformité théorique parfaite, mais de mettre en place des mesures proportionnées à ses traitements réels.

En Belgique, l'autorité de contrôle est l'Autorité de protection des données (APD). Elle peut être saisie par une personne concernée, par exemple un ancien client ou un travailleur, et dispose d'un pouvoir de sanction.

J'aide les entreprises à faire le point sur leurs traitements, à rédiger les documents utiles et à réagir lorsqu'un incident survient ou qu'une demande arrive.

J'interviens notamment pour

En conseil comme en contentieux, du côté où vous vous trouvez

État des lieux

Inventaire des traitements, bases légales, durées de conservation, registre des activités de traitement.

Politique de confidentialité

Information claire des clients, des utilisateurs et des travailleurs, adaptée à votre activité réelle.

Sous-traitants

Contrats avec vos prestataires (hébergement, logiciel, comptabilité, marketing) conformes à l'article 28 du RGPD.

Droits des personnes

Réponse aux demandes d'accès, de rectification ou d'effacement dans le délai prévu.

Caméras et travailleurs

Surveillance par caméra, contrôle de l'usage des outils informatiques, règles internes.

Violations de données

Analyse de l'incident, notification à l'APD dans les délais, information des personnes concernées.

Par où commencer

La démarche la plus utile consiste à cartographier ce que fait réellement l'entreprise : quelles données, pour quelles finalités, sur quelle base légale, conservées combien de temps, partagées avec qui. Ce travail débouche sur le registre des activités de traitement et révèle presque toujours deux ou trois points à corriger en priorité.

Des données conservées sans limite de durée, notamment d'anciens candidats ou prospects.
Des prestataires qui accèdent aux données sans contrat de sous-traitance.
Une politique de confidentialité générique qui ne correspond pas aux traitements réels.
Des cookies déposés sans consentement préalable sur le site web.

En cas de fuite de données

Une violation de données, comme l'envoi d'un fichier au mauvais destinataire, le piratage d'une boîte mail ou le vol d'un ordinateur portable, doit être documentée. Si elle présente un risque pour les personnes concernées, elle doit être notifiée à l'APD dans les 72 heures après que l'entreprise en a pris connaissance, et, si le risque est élevé, les personnes doivent être informées.

Dans ces moments, le temps compte. Il faut évaluer rapidement l'étendue de l'incident, les mesures pour le contenir et les obligations de notification, tout en préservant la position de l'entreprise si un prestataire est en cause.

Données et contrats : le lien avec le reste de votre activité

La protection des données ne se traite pas à part. Elle se retrouve dans vos contrats avec les fournisseurs informatiques, dans vos conditions générales, dans le règlement de travail et dans les opérations de cession d'entreprise, où la qualité des bases de données clients fait partie de la valeur.

C'est pour cette raison que je l'aborde avec une approche d'entreprise : ce qui est exigé, ce qui est prioritaire, et ce qui peut attendre.

Questions fréquentes

RGPD et données : ce qu'il faut savoir

Pas nécessairement. La désignation est obligatoire dans certains cas, notamment lorsque l'activité de base implique un suivi régulier et systématique à grande échelle ou le traitement à grande échelle de données sensibles. Beaucoup de PME n'y sont pas tenues, mais doivent tout de même organiser leur conformité.

Il exerce son droit d'accès. Vous devez lui répondre en principe dans un délai d'un mois, en lui communiquant une copie de ses données et les informations prévues par le RGPD. Vérifiez son identité et faites attention aux données de tiers.

Oui, à des conditions précises : finalité légitime, déclaration, pictogramme d'information, durée de conservation limitée des images et, pour les travailleurs, information et règles spécifiques. La loi caméras et le RGPD s'appliquent ensemble.

Oui, dès lors qu'il s'agit de personnes physiques identifiables, par exemple le nom et l'adresse e-mail nominative d'un interlocuteur chez un client. Les données relatives à la société elle-même ne sont pas des données personnelles.

Voir aussi

Domaines connexes

Numérique

Contrats IT et numérique

Développement de logiciels et de sites, SaaS, licences, propriété du code, conditions générales de plateformes, e-commerce et noms de domaine.

Lire la page →

Entreprises & sociétés

Contrats commerciaux

Conditions générales, contrats de distribution, de sous-traitance ou de prestation, clauses de réserve de propriété et litiges contractuels entre entreprises.

Lire la page →

Entreprises & sociétés

Droit des sociétés

Constitution, statuts, conventions d'associés, responsabilité des administrateurs et conflits entre associés, sous le Code des sociétés et des associations.

Lire la page →

Prendre rendez-vous

Une question en rgpd et données ?

Exposez-moi la situation et les documents en votre possession : je vous dirai s'il y a matière à agir, dans quel délai, à quel coût et selon quelle stratégie.

Écrire au cabinet Appeler le +32 (0)494 14 11 96

Sur rendez-vous · Namur (Loyers)