RGPD : arme de destruction massive

Sur le principe, je pense que tout le monde se retrouve. Nous avons tous besoin d’un minimum de défense contre le harcèlement numérique et tous les risques associés. La protection de l’individu sur ce plan constitue la raison d’être du RGPD. Enfin officiellement. Car en pratique, il s’agit selon moi surtout d’un outil de représailles anti-Gafa. Mais après tout, pourquoi pas. C’est de bonne guerre.

Là où le bât blesse, c’est que nos brillants cerveaux de l’UE ont fait une fois de plus comme s’il n’existait en ce bas monde que de grandes entreprises, voire des multinationales. Manifestement, personne chez eux n’a imaginé un instant ce que cela impliquait concrètement pour une PME, et encore moins une TPE ou un indépendant.

Imaginons maintenant que vous receviez l’email suivant :

« Veuillez confirmer si certaines de mes données personnelles sont traitées ou non par vos systèmes informatiques. Si des données personnelles me concernant font l’objet d’un traitement, veuillez me fournir des informations sur les catégories de données à caractère personnel qui font l’objet d’un traitement.

En particulier, veuillez me dire ce que vous savez à mon sujet dans vos systèmes d’information, qu’ils soient ou non contenus dans des bases de données, y compris le courrier électronique, les documents sur vos réseaux, la voix ou tout autre support que vous pouvez stocker.
En outre, veuillez m’indiquer dans quels pays mes données personnelles sont stockées ou accessibles. Si vous utilisez les services cloud pour stocker ou traiter mes données, veuillez indiquer les pays dans lesquels se trouvent les serveurs où mes données sont ou ont été stockées (au cours des 12 derniers mois). Si les données personnelles sont stockées sur des serveurs en dehors de l’EEE, veuillez fournir ces informations.
Veuillez me fournir une copie de mes données personnelles que vous avez ou que vous êtes en train de traiter et, si possible, des informations concernant la date exacte à laquelle vous avez obtenu ces données particulières, ou me donner accès à ces données. »

Il s’agit juste d’un petit échantillon de ce que vous êtes en droit d’exiger sous 30 jours de n’importe quelle société. Chez une grande entreprise, le message sera redirigé vers le service juridique, qui rédigera une réponse circonstanciée en partenariat avec le service informatique.

Mais chez vous ? Que va-t-il se passer ?

Vous avez compris le problème.

Un petit plaisantin a préféré prendre cette situation consternante sur le ton de l’humour. Il a créé un service en ligne appelé « Envoyez le RGPD à vos ennemis ». Vous y saisissez vos coordonnées, celles de l’entreprise à qui vous voulez nuire, et le service vous pond automatiquement un courrier dévastateur en termes de ressources pour celui qui devra y répondre.

Malheureusement, tout est dit. Le RGPD constitue dans la pratique une arme de destruction massive dont la menace plane sur les petites entreprises. Les autres, elles, payent déjà du monde à l’année pour s’en occuper.

Voilà la situation. Concrètement, il existe pour vous deux possibilités :

Anticiper toutes les demandes en inventoriant l’ensemble des processus concernés dans votre système informatique. Dans l’idéal, vous devriez demander à un avocat spécialiste de la question de solliciter tous vos fournisseurs et prestataires concernés afin de documenter préventivement le sujet. A vos frais, bien sûr.
Attendre la première demande pour le faire.

Dans la pratique, vous serez probablement amené à mettre en œuvre une version allégée de l’option 1, en faisant l’impasse sur l’avocat. Et vous devriez rassembler le résultat de vos investigations dans une page « politiquez de confidentialité » sur votre site Web.

Bon courage.