Checklist : mettez une entreprise en conformité avec le RGPD en 15 minutes

Sommaire

1. Que couvre cette checklist et que ne couvre-t-elle pas ?
2. Étape 1 : savez-vous quelles données votre entreprise gère ?
3. Étape 2 : avez-vous votre registre des activités de traitement ?
4. Étape 3 : vos clients savent-ils ce que vous faites de leurs données ?
5. Étape 4 : avez-vous des caméras ? Le panneau est-il affiché ?
6. Étape 5 : qui traite des données pour vous, et avez-vous le contrat signé ?
7. Étape 6 : votre équipe sait-elle qu'elle doit garder la confidentialité ?
8. Étape 7 : savez-vous quoi faire en cas de faille de sécurité ?
9. Étape 8 : savez-vous répondre si quelqu'un vous demande ses données ?
10. Étape 9 : votre site a-t-il une politique de confidentialité et de cookies ?
11. Étape 10 : quand la révisez-vous à nouveau ?
12. Que se passe-t-il si vous n'êtes pas en règle ?
13. Questions fréquentes

Que couvre cette checklist et que ne couvre-t-elle pas ?

Cette checklist vous donne une base minimale défendable, pas un audit complet. Elle convient aux travailleurs indépendants, aux PME et aux entreprises de tout secteur : un restaurant, un salon de coiffure, une clinique, un atelier. Elle ne remplace pas une analyse faite sur mesure pour votre entreprise, surtout si vous gérez des données délicates comme celles de santé.

Chaque étape comporte trois choses : quoi vérifier, combien de temps cela prend et l'article de la loi qui l'exige. Si vous répondez « je ne sais pas » à un point, marquez-le et revenez-y tranquillement : il n'est pas nécessaire de tout terminer dans la même session.

Étape 1 : savez-vous quelles données votre entreprise gère ? (2 minutes)

Avant tout document, il vous faut la liste de base. Notez, sans trop y réfléchir :

• Les données de vos clients (nom, email, téléphone, et si vous conservez autre chose).
• Les données de vos salariés (bulletin de paie, contrat, et si vous utilisez l'empreinte digitale ou une caméra pour le pointage).
• Les données de vos fournisseurs.
• Si vous avez des caméras, une newsletter marketing ou des formulaires sur votre site.

Il n'est pas nécessaire que ce soit parfait. C'est le brouillon sur lequel vous allez construire le reste de la checklist. Ce premier inventaire est la base du registre des activités de traitement qu'exige l'article 30 du RGPD.

Étape 2 : avez-vous votre registre des activités de traitement ? (3 minutes)

Le registre des activités de traitement (RAT) est votre liste des données que vous gérez et à quelles fins, traitement par traitement. Il vous sert à le démontrer si l'Agencia Española de Protección de Datos (AEPD, l'autorité espagnole de protection des données) vous le demande.

• [ ] Vous avez une fiche pour chaque chose que vous faites avec des données : clients, salariés, fournisseurs, caméras, marketing.
• [ ] Chaque fiche indique quelles sont les données, à quoi vous les utilisez, qui d'autre les voit et combien de temps vous les conservez.

Ce document est obligatoire pour pratiquement toute entreprise (art. 30 RGPD). L'AEPD propose un outil gratuit, Facilita RGPD, conçu pour les entreprises dont les traitements présentent un faible risque : un questionnaire d'environ 20 minutes qui génère les documents minimaux, y compris le RAT.

Étape 3 : vos clients savent-ils ce que vous faites de leurs données ? (2 minutes)

Chaque fois que vous demandez une donnée à un client —sur un formulaire, un contrat ou une réservation— vous devez lui dire ce que vous en faites. Cela s'appelle informer sur le traitement (art. 13 RGPD).

• [ ] Vos formulaires et contrats comportent une clause qui indique qui vous êtes, à quoi vous utilisez les données et combien de temps vous les conservez.
• [ ] Si vous demandez le consentement pour quelque chose (par exemple, envoyer de la publicité), la case est vide par défaut : personne ne la coche à votre place.

Un consentement précoché n'est pas valable : la loi exige une action affirmative claire de la personne (art. 4.11 et art. 7 RGPD).

Étape 4 : avez-vous des caméras ? Le panneau est-il affiché ? (2 minutes)

Si vous enregistrez des images de personnes —celle de la vitrine, celle de l'entrepôt, même une caméra de téléphone fixe—, vous traitez leurs données.

• [ ] Il y a un panneau visible à chaque accès à la zone équipée de caméras, avec votre identité et l'endroit où exercer les droits en matière de protection des données.
• [ ] Vous savez combien de temps vous conservez les enregistrements et pourquoi.

Le panneau a un modèle officiel : l'AEPD elle-même publie le panneau de vidéosurveillance prêt à imprimer (art. 22 LOPDGDD, art. 13 RGPD). Pas besoin de l'inventer : il se copie tel quel.

Étape 5 : qui traite des données pour vous, et avez-vous le contrat signé ? (3 minutes)

Une gestoría (un cabinet espagnol qui gère la comptabilité, la paie et les démarches administratives), un informaticien, une société d'hébergement ou un outil d'email marketing qui gère les données de vos clients ou de vos salariés, c'est ce que la loi appelle un sous-traitant : une entreprise externe qui gère des données pour vous.

• [ ] Vous avez une liste de qui traite des données pour vous en dehors de votre entreprise.
• [ ] Avec chacun d'eux, il existe un contrat signé qui les oblige à protéger ces données au même titre que vous.

Ce contrat est obligatoire, pas facultatif (art. 28 RGPD). Si vous engagez quelqu'un de nouveau qui va toucher aux données de vos clients ou de votre équipe, le contrat se signe avant de lui donner accès, pas après.

Étape 6 : votre équipe sait-elle qu'elle doit garder la confidentialité ? (1 minute)

Toute personne qui travaille avec vous et voit des données de clients ou d'autres collègues a l'engagement de ne pas raconter ce qu'elle voit au travail.

• [ ] Chaque personne de votre équipe a signé un engagement de confidentialité, ou l'a par écrit dans son contrat.

Cette obligation est expressément prévue pour le secteur privé (art. 5 LOPDGDD). C'est l'un des documents les plus rapides à régler et l'un de ceux que l'on oublie le plus.

Étape 7 : savez-vous quoi faire en cas de faille de sécurité ? (1 minute)

Il n'est pas nécessaire qu'il ne vous arrive jamais rien. Mais il est bon de savoir, avant que cela n'arrive, ce que vous devez faire si vous perdez un téléphone contenant des données, si quelqu'un entre dans votre email ou si vous envoyez des données à qui il ne fallait pas.

• [ ] Vous savez que vous avez 72 heures à partir du moment où vous l'apprenez pour prévenir l'AEPD, si la faille présente un risque pour les personnes concernées.
• [ ] Vous savez que, même s'il n'est pas nécessaire de prévenir l'AEPD, vous devez le consigner dans votre registre interne d'incidents.

Le délai de 72 heures et le registre interne d'incidents figurent à l'article 33 du RGPD. L'AEPD publie un guide pratique pour gérer et notifier les violations de sécurité avec le pas à pas complet.

Étape 8 : savez-vous répondre si quelqu'un vous demande ses données ? (1 minute)

Toute personne —un client, un ancien salarié— peut vous demander de voir ses données, de les corriger, de les effacer ou de les lui transmettre dans un fichier.

• [ ] Vous savez que vous avez 1 mois pour répondre à compter de la réception de la demande (avec la possibilité de le prolonger de 2 mois supplémentaires si la demande est complexe).
• [ ] Vous savez clairement à quel email ou à quelle adresse cette demande doit parvenir.

Le délai d'un mois figure à l'article 12.3 du RGPD. L'AEPD publie un formulaire type pour le droit d'accès que vous pouvez adapter à votre entreprise.

Étape 9 : votre site a-t-il une politique de confidentialité et de cookies ? (1 minute)

Si vous avez un site, même seulement informatif, il vous faut deux textes de base : ce que vous faites des données que vous collectez (formulaire de contact, newsletter) et quels cookies vous utilisez.

• [ ] Votre site a une politique de confidentialité liée depuis n'importe quel formulaire.
• [ ] Le bandeau cookies laisse choisir avec le même poids visuel « accepter » et « refuser » : pas question d'un gros bouton accepter et d'un petit lien pour refuser.

Cela combine le RGPD avec la réglementation espagnole sur les services de la société de l'information (LSSI) pour les cookies non essentiels.

Étape 10 : quand la révisez-vous à nouveau ? (1 minute)

Cette checklist ne se remplit pas une seule fois. Elle se révise quand quelque chose de réel change dans votre entreprise : un nouveau salarié, un nouveau fournisseur, une nouvelle caméra, un nouvel outil.

• [ ] Vous avez une date dans le calendrier pour la revoir, au moins une fois par an.

Avec cela, vous avez couvert les 10 points. Si vous êtes arrivé jusqu'ici et qu'il vous en manque plusieurs, ce n'est pas grave : notez lesquels et continuez par le suivant qui vous semble le plus facile.

Que se passe-t-il si vous n'êtes pas en règle ?

C'est l'AEPD qui surveille cela en Espagne. Elle peut demander des explications, ordonner des changements, avertir ou infliger une amende. Le RGPD fixe les maximums possibles à deux niveaux : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, et jusqu'à 20 millions ou 4 %, selon l'infraction (art. 83 RGPD). C'est le plus élevé des deux chiffres qui s'applique.

En pratique, ces chiffres sont le plafond légal, pas l'ordinaire : la sanction est graduée selon la gravité, la taille de l'entreprise et si vous avez coopéré. Une petite entreprise qui s'organise et répond bien n'est pas dans ce scénario. C'est pour cela que vous êtes ici : pour l'avoir fait et cesser d'y penser.

Questions fréquentes

Cette checklist remplace-t-elle un audit complet ?

Non. C'est une base minimale pour les entreprises dont les traitements de données présentent un faible risque. Si vous gérez des données de santé, de mineurs ou si vous faites du profilage à grande échelle, il vous faut une analyse plus approfondie, et peut-être une analyse d'impact (art. 35 RGPD).

Est-ce utile pour les travailleurs indépendants sans salariés ?

Oui. Si vous avez des clients, des fournisseurs ou un site avec un formulaire, vous traitez déjà des données personnelles. Les étapes 6 (confidentialité des salariés) ne s'appliquent pas si vous travaillez seul, mais le reste, oui.

Ai-je besoin d'un délégué à la protection des données (DPD) ?

Cela dépend de votre activité et du volume de données que vous gérez, pas du nombre de salariés. La plupart des PME et des travailleurs indépendants n'y sont pas obligés. L'orientation de l'AEPD pour les PME explique les cas concrets où c'est bien nécessaire.

Que se passe-t-il si je constate qu'il me manque quelque chose en faisant la checklist ?

Rien d'urgent ni de rétroactif : faites-le simplement dès que vous le pouvez, en commençant par le plus facile. L'AEPD apprécie l'attitude de celui qui s'organise et corrige, pas seulement le résultat final à un instant donné.

Tous les combien dois-je revoir cette checklist ?

Au moins une fois par an, et chaque fois que quelque chose de réel change dans votre entreprise : un nouveau salarié, une nouvelle caméra, un nouveau fournisseur ou un nouvel outil qui touche aux données des clients.

Cette checklist est-elle un document légal à elle seule ?

Non. C'est un contenu informatif pour vous orienter. Les documents dont vous avez vraiment besoin (registre des activités, clauses, contrats, panneau) sont des pièces à part, adaptées à votre entreprise.

---

Vous préférez faire ces 10 étapes de façon guidée, avec les documents déjà rédigés et prêts à signer ? Le niveau gratuit de Tranquilia couvre jusqu'à 2 entreprises, avec toutes les fonctionnalités, sans limite de temps et sans carte. Essayez-le gratuitement ou consultez les tarifs si vous avez besoin de plus d'entreprises.

Si votre entreprise a des caméras, l'étape suivante naturelle est de générer votre panneau de vidéosurveillance avec vos données déjà renseignées.

---

Contenu élaboré avec l'appui de l'intelligence artificielle et vérifié auprès de sources officielles (AEPD, BOE, EUR-Lex) par Tranquilia by GRAC SA. Ne constitue ni une certification officielle ni un avis juridique. Consultez votre gestoría ou un professionnel du droit pour votre cas concret.

Sources citées dans cet article :

• Reglamento (UE) 2016/679 (RGPD) — texte consolidé, EUR-Lex
• Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) — BOE-A-2018-16673
• AEPD — Qu'est-ce que le registre des activités de traitement ?
• AEPD — Facilita RGPD
• AEPD — Orientation pour les petites et moyennes entreprises (PYMES)
• AEPD — Violations de données personnelles
• AEPD — Guide pour la notification des violations de données personnelles (PDF)
• AEPD — Panneau d'information de vidéosurveillance, modèle officiel (PDF)
• AEPD — Questions fréquentes sur les caméras vidéo
• AEPD — Formulaire pour exercer le droit d'accès (PDF)