Les PME-TPE devraient-elles avoir peur du RGPD ?

Le 25 mai, le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur sur le continent, déclenchant une vague d’inquiétude chez les petites entreprises qui n’étaient pas précisément en attente de nouvelles contraintes réglementaires.

Concrètement, il s’agit d’un cadre réglementaire régissant l’emploi des données à caractère personnel. Il remplace au passage l’obligation de déclaration de vos fichiers à la Cnil. C’est d’ailleurs cette dernière qui aura la charge de vérifier son application, et il est probable qu’elle ne fera à cette occasion pas plus preuve de courage face au fisc que lors de sa création dans les années 80.

Mais revenons à ce qui va nous tomber sur la tête. Comme à chaque fois en pareille occasion (souvenez-vous par exemple les détecteurs de fumée devenus obligatoires), une bande de vautours surfent sur cette nouvelle réglementation. Les offres de sensibilisation, formation, mise en conformité et autres comment à pulluler, tandis que les entrepreneurs se demandent ce qui leur arrive.

Le RGPD concerne tous les citoyens européens, où qu’ils se trouvent. Même si vous êtes basé à l’étranger, et non ressortissant de l’UE. Si vous avez des clients européens, le RGPD s’impose à vous. Il couvre toutes les données à caractère personnel. Un nom de personne, client ou pas, un numéro de téléphone, une adresse email, tout cela constitue des données personnelles.

Voici vos nouvelles obligations :

Dire avant toute chose à vos visiteurs ce que vous allez faire de leurs données. Quand vous leur soumettez un formulaire d’abonnement par exemple.
Obtenir un consentement explicite et préalable à tout emploi de ces données.
Leur donner la possibilité d’accéder aux données collectées, quand bien même cela se limiterait à leur nom et email.
Leur donner la possibilité de changer ces informations et de se désabonner
Leur donner la possibilité de supprimer toutes ces données sur simple demande.

Vous n’êtes pas prêt ? Vous n’avez même pas encore bougé le petit doigt ? Ou vous découvrez à l’instant toute cette histoire ? Pas de panique. D’abord, il y aura une phase de tolérance pendant laquelle aucune poursuite ne sera engagée. Réalisme ? Peut-être. Mais mon petit doigt me dit que l’administration va attendre que les plâtres soient secs avant d’ouvrir un œil pour la simple raison que de nombreux points juridiques semblent franchement flous, pour ne pas dire très bancals.

La seconde raison pour laquelle vous devriez garder votre sang-froid, c’est que les PME-TPE ne sont tout simplement pas visées dans cette histoire. La menace d’amendes astronomiques ne sera mise en application qu’en dernier recours, et vise sans les nommer Google et Facebook. Pas vous.

Un lien oublié, une description des clauses de confidentialité sur votre site manquant de précision, ou un formulaire d’abonnement insuffisamment précis ne vous précipiteront pas irrémédiablement vers la faillite. D’autant qu’avant de mobiliser les moyens nécessaires pour passer plus de trois millions de PME/TPE à la moulinette, il va couler de l’eau sous les ponts.

Cependant, il va quand même falloir y passer, quitte à se faire aider, car cette loi s’impose à tous. Ne glissez pas le problème sous le tapis. Entre nous, avez-vous commencé à vous en occuper ?