01
La réponse en bref
Une PME organise la protection des données en combinant des mesures organisationnelles (politique interne, formation, classification des informations) et des mesures techniques (postes de travail sécurisés, verrouillage automatique, pare-feu, antivirus) autour d'une évaluation périodique des risques.
Le RGPD exige le même niveau de sécurité quel que soit l'équipement utilisé, et l'employeur reste responsable même des données traitées sur des appareils qu'il ne contrôle pas directement.
02
Pourquoi cela compte chaque jour, pas seulement en phase de projet
Les violations de données peuvent entraîner des pertes financières, des amendes et une baisse de la confiance des clients ; c'est pourquoi de bonnes pratiques de cybersécurité servent à prévenir les incidents avant qu'ils ne se produisent, pas seulement à les gérer après coup.
Une organisation qui applique la protection des données dès la conception prend en compte les risques et les mesures d'atténuation avant de commencer tout traitement, et non comme une correction ultérieure.
03
La séquence opérationnelle
Étapes
- Créer et mettre à jour un tableau des risques, incluant les risques matériels et humains liés aux serveurs, ordinateurs et locaux.
- Sensibiliser les gestionnaires de données par des sessions périodiques et documenter les procédures dans un langage clair pour chaque fonction.
- Définir une politique interne contraignante décrivant les règles de protection des données et de sécurité.
- Classer les informations par niveau et marquer les documents et e-mails contenant des données confidentielles.
- Protéger les postes de travail avec verrouillage automatique, pare-feu, antivirus à jour et stockage avec sauvegarde régulière.
04
Exemple tiré du guide du CEPD : la librairie en ligne
Une librairie veut vendre des livres en ligne et crée un formulaire de commande avec tous les champs obligatoires, y compris la date de naissance, le numéro de téléphone et l'adresse personnelle. Mais toutes les données ne sont pas nécessaires au but recherché : pour un livre électronique téléchargeable directement, l'adresse personnelle n'est pas nécessaire.
C'est l'exemple concret de la minimisation : ne collecter que les données pertinentes et limitées à ce que le service effectivement proposé exige.
05
Contrôles à vérifier périodiquement
- Fournir à chaque utilisateur un identifiant unique et exiger une authentification pour accéder aux infrastructures informatiques.
- Gérer des autorisations séparées par profil, avec des mots de passe complexes et une révision périodique des accès.
- Supprimer sans délai les autorisations d'accès devenues obsolètes.
- Évaluer la pseudonymisation ou le chiffrement des données et un VPN dédié pour le télétravail.
- Protéger également les appareils personnels (BYOD) utilisés pour se connecter au réseau de l'entreprise.
06
Ce qu'une entreprise peut mettre en place dans son propre logiciel de gestion
Quel que soit l'outil choisi, une entreprise peut demander à son fournisseur de logiciel de suivre qui a accès à quelles données, avec des profils séparés par rôle et un journal des modifications des autorisations, afin de soutenir la révision périodique requise par les bonnes pratiques de sécurité.
Il est également utile de pouvoir documenter de manière centralisée les procédures internes (politique de classification, formations effectuées, échéances de révision), en les rendant accessibles à ceux qui traitent les données sans devoir les reconstituer de mémoire.
07
Questions fréquentes
Qui doit être impliqué dans la sensibilisation ? Tous les gestionnaires de données, c'est-à-dire toute personne qui traite des données personnelles dans l'activité quotidienne, pas seulement le responsable informatique.
La protection doit-elle être refaite pour chaque projet ? La protection dès la conception doit être prise en compte avant tout nouveau traitement, en évaluant sa nature, son contexte et ses risques spécifiques.
Les appareils personnels sont-ils exclus des obligations de sécurité ? Non : l'employeur reste responsable de la sécurité des données même sur les appareils BYOD autorisés à accéder aux ressources de l'entreprise.
08
La prochaine étape pratique
Commencez par le tableau des risques : listez serveurs, postes de travail et locaux, assignez un responsable pour chaque élément et fixez une date de révision à trois mois. C'est le point de départ de la formation, de la politique interne et des mesures techniques.
FAQ
Questions fréquentes
Par où une PME doit-elle commencer si rien n'a jamais été formalisé ?
Par le tableau des risques sur les serveurs, ordinateurs et locaux : c'est la base pratique suggérée pour avoir une vision claire avant de définir des politiques et des formations.
Faut-il aussi protéger les téléphones personnels des employés ?
Oui : si un employé utilise un appareil personnel pour accéder au réseau de l'entreprise, l'employeur reste responsable de la sécurité des données traitées sur cet appareil.
Que signifie concrètement minimiser les données collectées ?
Cela signifie demander uniquement les informations nécessaires à l'objectif spécifique, comme dans l'exemple de la librairie en ligne où l'adresse personnelle n'est pas nécessaire pour un livre électronique téléchargeable.
✓