7 ans déjà que le RGPD (Règlement général sur la protection des données) est entré en application. Depuis cette date, ce nouveau règlement européen a généré une avalanche de commentaires, d’interprétations parfois hasardeuses et fausses certitudes. Et dans beaucoup d’entreprises, il reste encore un sujet mal compris, souvent abordé avec méfiance, voire d’agacement. Voici un tour d’horizon des clichés les plus tenaces autour du RGPD.

« Le RGPD, c’est juste pour embêter les entreprises »

C’est sans doute l’un des clichés les plus répandus. Certains dirigeants ou responsables métiers considèrent encore le RGPD comme un contrainte administrative inutile, imposée par Bruxelles pour complexifier une nouvelle fois la vie des entreprises.

En réalité, le RGPD vise à instaurer un cadre clair et équilibré sur la manière dont une entreprise traite les données personnelles. Il ne s’agit pas bien évidemment d’empêcher les entreprises de travailler, mais de s’assurer qu’elles le font de manière transparente, respectueuses et sécurisée. La confiance des clients, des partenaires ou des salariés dépend de cette rigueur.

« Ce n’est qu’un truc juridique »

Certes, le RGPD repose sur un texte de loi. Mais le considérer comme un sujet purement juridique serait passer à côté de sa portée opérationnelle. Il concerne directement les pratiques métiers : marketing, Ressources Humaines, support client, logistique, développement informatique…

Rédiger une politique de confidentialité ou nommer un DPO ne suffit pas. Ce qui compte, ce sont les actions concrètes. Comme limiter les accès, documenter les traitements, protéger les fichiers partagés, respecter les durées de conservation, répondre aux demandes des personnes concernées.

« On n’a rien à craindre, on ne collecte pas de données sensibles « 

Le RGPD ne s’applique pas uniquement aux données de santé ou aux cas très spécifiques. Toute donnée permettant d’identifier directement ou indirectement une personne est concernée. Adresse mail professionnelle, identifiant interne, données de connexion, comportement d’achat, numéro de téléphone…

Dès lors qu’une entreprise traite des données relatives à des personnes physiques (clients, prospects, salariés…), elle est concernée. Même si son activité n’a rien à voir avec le médical ou la sécurité.

« Tant qu’on ne fait pas de pub ciblée, on est tranquille »

L’usage des cookies ou le ciblage publicitaire sont des sujets souvent médiatisés. Mais ils ne sont qu’une facette du RGPD. L’obligation de respecter les droits des personnes (accès, rectification, effacement, portabilité…) concerne tous les types de traitements, y compris les plus simples.

Un formulaire de contact sur un site, une base de CV, un fichier client ou un outil de paie sont aussi concernés. Il ne s’agit pas uniquement de marketing mais de gestion quotidienne des données.

« On a mis une bannière cookies, donc on est en règle »

Une bannière ne garantit rien si elle ne permet pas un vrai choix. Le consentement doit être libre, spécifique, éclairé et univoque. Proposer uniquement un bouton « Tout accepter » sans équivalent pour refuser n’est pas conforme.

Au-delà de cette formalité, il faut savoir quels cookies sont déposés, à quoi ils servent, qui les reçoit et pouvoir en bloquer certains pour bloquer l’accès au site. Ce niveau d’exigence suppose un paramétrage technique précis.

« On verra ça quand on sera contrôlé »

C’est évidemment une mauvaise stratégie. Attendre un contrôle de la CNIL pour réagir, c’est prendre le risque d’être pris au dépourvu. Or, une conformité RGPD ne s’improvise pas. Elle se construit dans la durée.

En cas de contrôle, il faut pouvoir démontrer que des mesures ont été prises, que des choix ont été documentés et que les risques ont été anticipés. La bonne foi ne suffit pas. Il faut en effet présenter des preuves telles que le registre des traitements, l’analyse d’impact, les contrats et les différentes procédures.

Ce qu’on oublie souvent

Ce que beaucoup d’entreprises négligent, c’est que le RGPD peut aussi être un levier de qualité et d’efficacité. En forçant à trier les données, à repenser les flux, à améliorer la traçabilité, il pousse à se poser les bonnes questions : A-t-on vraiment besoin de toutes ces informations ? Pourquoi sont-elles conservées ? Qui y a accès ? Comment les protéger ?

Appliquer le RGPD, c’est souvent l’occasion de clarifier les process, de mieux structurer les outils et d’instaurer de meilleures pratiques. Et donc d’être plus fiable et réactif.