Le RGPD en une phrase

C'est une loi européenne qui dit : les données personnelles, c'est sérieux, on ne fait pas n'importe quoi avec.

Données personnelles = tout ce qui permet d'identifier une personne : nom, mail, téléphone, adresse, mais aussi numéro client, IP, photo, voix...

Les 7 réflexes du quotidien

1. Ne collecter que ce qui sert

Tu fais un formulaire de contact ? Demande : email + message. Pas la date de naissance "au cas où", pas le nom de jeune fille de la mère.

Principe : minimisation. Plus tu collectes, plus tu es responsable.

2. Demander la permission quand il faut

Pour une newsletter ? Case à cocher claire (jamais pré-cochée). Pour des cookies marketing ? Bandeau de consentement. Pour une photo dans la newsletter interne ? Email d'accord à conserver.

3. Ne jamais envoyer de données sensibles en clair par mail

Mots de passe, RIB, numéros de sécu, données médicales : pas dans un mail. Utilise un partage sécurisé (SharePoint avec lien limité, Tresorit, Proton Drive).

4. Vérifier l'identité avant de donner accès

Un client demande "envoie-moi mes anciennes commandes" ? Tu ne lui envoies pas tant que tu n'as pas vérifié que c'est bien lui. Email d'invitation à se connecter au compte officiel, ou copie de pièce d'identité.

5. Pas de données de tiers sans consentement

Un client te demande "c'est quoi le mail de mon collègue Pierre ?" → Refuse poliment. Le mail de Pierre est la donnée de Pierre, pas du client.

6. Conserver ce qui doit l'être, supprimer le reste

Une facture client se conserve 10 ans (obligation comptable). Un CV non retenu doit être supprimé sous 2 ans max (sauf consentement explicite pour la "CVthèque"). Les données prospects non clients : 3 ans après le dernier contact.

7. Réagir vite en cas de fuite

Un fichier client est compromis ? Tu as 72 heures pour notifier la CNIL (si risque pour les personnes). C'est court, mais c'est la loi (article 33 RGPD).

Les 6 droits des personnes

Toute personne dont tu as les données peut te demander :

1. L'accès : "que sais-tu de moi ?"
2. La rectification : "corrige cette info"
3. L'effacement ("droit à l'oubli") : "supprime tout"
4. La portabilité : "donne-moi un export"
5. La limitation : "garde mais n'utilise pas"
6. L'opposition : "arrête de m'envoyer ta newsletter"

Tu dois répondre dans le mois (extensible à 3 mois si demande complexe).

Ton DPO, ton meilleur ami

Si tu as un DPO (Data Protection Officer), c'est lui qui gère. Si ta PME n'en a pas, externalise-le (300-500 €/an chez plusieurs cabinets). Une PME sans DPO en 2026 prend un risque inutile.

Le test du dirigeant

"Est-ce que je serais à l'aise si demain ce traitement de données passait au JT de 20h ?"

Si la réponse est "non", c'est que tu as un sujet RGPD à régler.