Ce n'est ni un formulaire à cocher, ni une montagne
Beaucoup de dirigeants rangent le RGPD dans la case « paperasse », et la sécurité dans la case « on verra ». Puis arrive une perte de données, un départ mal géré ou une demande d'un client, et le sujet redevient urgent.
En pratique, pour un outil interne de PME, cinq points suffisent à couvrir l'essentiel.
1. Qui a accès à quoi
Chaque personne voit ce dont elle a besoin, pas l'ensemble. Un compte par personne, jamais un compte partagé, et une procédure simple quand quelqu'un quitte l'entreprise : on coupe l'accès le jour même.
C'est la mesure la plus efficace, et elle ne coûte rien.
2. Où sont les données
Pour la plupart des PME françaises, un hébergement en Europe évite les questions compliquées et rassure les clients. Le contrat doit dire clairement où sont vos données et qui peut y accéder.
3. Ce que vous conservez, et combien de temps
Le principe est simple : on garde ce qui sert, aussi longtemps qu'il sert. Un devis refusé il y a six ans n'a pas besoin de rester dans l'outil. Fixez une durée par type d'information, et faites-la appliquer par l'outil plutôt que par la bonne volonté de chacun.
4. Les sauvegardes, et surtout leur restauration
Une sauvegarde qu'on n'a jamais testée n'est pas une sauvegarde. Il faut savoir en combien de temps vous pouvez repartir après une erreur ou une panne, et l'avoir vérifié au moins une fois.
5. La trace de ce qui se passe
Savoir qui a modifié quoi, et quand. Ce n'est pas de la surveillance : c'est ce qui permet de comprendre un problème, de corriger une erreur et, le cas échéant, de prouver votre sérieux.
Les cas qui demandent davantage
Dès qu'il s'agit de données de santé, de données bancaires ou d'informations sensibles, les obligations montent d'un cran, et elles se traitent au moment de la conception de l'outil. C'est beaucoup plus simple de les prévoir dès le départ que de les ajouter ensuite.
Mon rôle et ses limites
Je construis l'outil en respectant ces principes, et je vous explique ce qui est en place. En revanche, je ne suis pas juriste : pour un registre de traitements ou une analyse d'impact, il faut la bonne personne. La CNIL publie des guides clairs, gratuits, faits pour les PME.
Ce que je mets en place par défaut
Comptes individuels, droits par profil, hébergement européen, sauvegardes automatiques avec restauration testée, et historique des modifications. Ce ne sont pas des options à négocier, c'est la base.
La méthode · la propriété de vos données
Une question sur votre outil ? 30 minutes en visio, sans engagement.
