Conformité au RGPD et petites entreprises

Non, ils ne le sont pas. Le RGPD s’applique dès qu’une entreprise collecte des données personnelles auprès d’une personne située dans l’UE. Cela reste vrai que vous soyez une structure composée d’une seule personne ou que vous ayez des bureaux sur six continents.

Cela dit, vous n’avez pas besoin de conserver un enregistrement écrit de vos activités de traitement des données si vous avez moins de 250 employés, sauf si :

• Vos activités de traitement des données sont susceptibles d’affecter les droits et libertés des personnes

• Vous traitez des données couvertes par l’article 9 du RGPD. Il s’agit de données qui révèlent :
  • L’origine raciale ou ethnique
  • Les convictions politiques, religieuses ou philosophiques
  • L’appartenance à un syndicat
  • Des données génétiques ou biométriques, ou des données concernant la santé ou la vie sexuelle de la personne

• Vous traitez des données personnelles visées à l’article 10, c’est-à-dire des données relatives aux infractions pénales et aux condamnations

• Vous traitez régulièrement des données personnelles

De nombreuses petites entreprises et travailleurs indépendants n’entreront pas dans le cadre des trois premières exemptions.

Mais qu’en est-il de la quatrième ? La Commission belge de la protection de la vie privée a suggéré que tout traitement de données n’est pas « régulier », même si vous le faites quotidiennement. Selon cette interprétation, vous n’avez pas besoin de conserver les registres des données personnelles que vous utilisez, par exemple, pour passer des commandes ou communiquer avec des clients. Toutefois, un document de position rédigé par le Groupe de travail Article 29 (le prédécesseur du Comité européen de la protection des données) semble suggérer que vous devriez interpréter « régulièrement ». Et le Comité européen de la protection des données l’a approuvé. Comme la position n’est pas claire, il est conseillé de garder les registres, même si vous pensez être exempté. Mieux vaut prévenir que guérir.

Oui. Le RGPD s’applique aux entreprises américaines si elles :

• Mènent des activités commerciales dans l’UE

• Ne font pas d’affaires au sein de l’UE, mais collectent ou suivent des données à caractère personnel appartenant à des personnes physiquement situées dans l’UE (cela inclut les personnes qui voyagent dans l’UE mais qui n’y résident pas habituellement). Vous le faites peut-être sans même vous en rendre compte. Par exemple, si les cookies de votre site web peuvent être utilisés pour identifier un individu, ils sont comptés comme des données personnelles dans le cadre du RGPD

Si vous souhaitez continuer à faire des affaires au sein de l’UE, vous devez vous conformer au RGPD. Sinon, vous risquez de vous voir infliger une lourde amende. Si vous ne faites pas d’affaires dans l’UE, vous avez deux options :

• Vous conformer quand même au RGPD

• Renseigner l’accès à votre site web, pour qu’il ne puisse pas collecter de données à caractère personnel auprès des personnes situées dans l’UE

Lorsque le RGPD est entré en vigueur, de nombreux sites web américains ont bloqué les utilisateurs de l’UE pour ne pas enfreindre le RGPD. Par exemple, plus de 1 1 sites d’actualités aux États-Unis étaient inaccessibles dans l’UE en août 2018. Certains éditeurs ont décidé de se retirer définitivement de l’UE. Lee Enterprises et Charles Arms ont ajouté : « le trafic Internet sur nos sites d’actualités locaux en provenance de l’UE et de l’EEE est de minimis et nous pensons que bloquer le trafic est dans l’intérêt de nos clients multimédias locaux. » Cela dit, de nombreux sites web américains ont désormais réussi à rester en ligne dans l’UE sans aucun problème. Et le site web de votre petite entreprise peut aussi être disponible dans l’UE sans vous causer de problèmes. Ce qui nous amène au point suivant.

Mettre votre petite entreprise sur la voie de la conformité au RGPD n’est pas aussi difficile que vous pourriez le penser. Voici une liste de contrôle de conformité au RGPD pour vous lancer.

1. Quelles données personnelles collectez-vous ?

Vous devez savoir quelles informations à caractère personnel vous collectez et si certaines sont sensibles, c’est-à-dire si elles relèvent des catégories visées par les articles 9 et 10 du RGPD. Vous devez également vous poser les questions suivantes :

• D’où proviennent les informations ?

• Pourquoi les collectez-vous ?

• Qu’en faites-vous ?

Vous devrez être en mesure de répondre à ces questions si on vous les pose.

2. Disposez-vous d’un consentement ?

À moins que vous ne disposiez d’une base légale pour utiliser des données à caractère personnel, les personnes doivent donner leur consentement. Celui-ci doit être :

• Donné librement

• Spécifique

• Informé

• Non ambigu

Vous devez conserver un enregistrement écrit du consentement. Vous devez également permettre de retirer ce consentement rapidement et facilement. Un logiciel de gestion des relations client conformes au RGPD peut vous aider dans cette situation. En particulier, il peut :

• Conserver un registre écrit des noms des personnes et des données à caractère personnel que vous détenez les concernant

• Enregistrer leur consentement en précisant à quelles fins elles ont consenti à ce que vous utilisiez leurs données (par exemple, pour recevoir votre newsletter mensuelle)

• Offrir aux personnes un moyen simple de retirer leur consentement si elles changent d’avis (par exemple au moyen de scripts de désabonnement en un clic)

3. Les données sont-elles protégées ?

Votre entreprise est responsable des données à caractère personnel que vous collectez. Et vous risquez une amende si elles tombent entre de mauvaises mains. Donc :

• Utilisez un logiciel de chiffrement lorsque vous stockez ou transmettez des données à caractère personnel en ligne

• Sécurisez votre réseau. Les employés imprudents étant la cause principale des violations de données, une stratégie informatique solide est obligatoire. Vous devriez également investir dans des logiciels de sécurité, notamment un pare-feu

• Créez des avis de cookies et de confidentialité conformes au RGPD. Ces exemples de modèle de cookie et exemples de modèle de stratégie de confidentialité peuvent vous aider. Vous pouvez également consulter le Centre de gestion de la confidentialité Microsoft pour en savoir plus sur les meilleures pratiques RGPD

• Vérifiez la conformité RGPD de vos fournisseurs

4. Et en cas de violation grave ?

Vous devez signaler les violations graves à l’autorité de réglementation dans les 72 heures, sous peine d’une amende. Vérifiez que vous disposez de procédures de signalement. Et, surtout, formez vos employés à :

• Être vigilants

• Comprendre ce qu’est une violation grave

• Repérer les signaux d’alerte

Quel a été jusqu’à présent l’impact du RGPD sur les petites entreprises ?

Il n’y a pas de solution miracle. La conformité au RGPD prend du temps et coûte cher. À l’approche du 25 mai 2018, les petites entreprises britanniques ont consacré environ 600 heures chacune à la préparation du RGPD. Sans compter le coût financier. À l’échelle mondiale, les petites et moyennes entreprises ont consacré 1,3 million de dollars à la conformité au RGPD. De même, la non-conformité peut avoir un effet dévastateur sur votre résultat net. Dans le tout premier cas de RGPD, un réseau social allemand a été facturé 20 000 (environ 22 600 $) pour l’échec de la protection des données personnelles des utilisateurs après qu’un pirate a usurpé 330 000 adresses de messagerie et mots de passe. Mais même si vous êtes tenté d’y voir une contrainte, la conformité au RGPD a aussi eu un impact positif sur les petites entreprises. Et voici pourquoi. Les consommateurs n’ont jamais accordé autant d’importance à leur vie privée. Et ils attendent des entreprises avec lesquelles ils partagent leurs informations qu’elles aient le même état d’esprit. Dans une étude récente, 69 % des consommateurs américains ont même dit qu’ils aimeraient voir une loi similaire au RGPD adoptée aux États-Unis. Plus à ce stade, une étude du CMO a constaté que les membres préparés au RGPD ont constaté un meilleur engagement, une plus grande fidélité et une plus grande confiance des consommateurs. Il est clair que le RGPD est bien plus qu’un ensemble de règles à respecter pour éviter une amende. Personne n’aime que ses informations privées soient prises sans son consentement. Ou conservées dans un endroit où des criminels pourraient mettre la main dessus. Ainsi, en prenant des mesures pour parvenir à la conformité au RGPD, vous pouvez positionner votre petite entreprise comme une entreprise qui se soucie réellement des données privées de ses clients. Cela peut vous donner la longueur d’une longueur d’avance sur votre concours.