{"id":1048,"date":"2017-09-13T16:19:40","date_gmt":"2017-09-13T14:19:40","guid":{"rendered":"https:\/\/www.sage.com\/fr-fr\/blog\/rgpd-donnees-personnelles-les-nouvelles-obligations\/"},"modified":"2026-02-05T15:04:58","modified_gmt":"2026-02-05T14:04:58","slug":"rgpd-obligations-donnees-personnelles-tpe-pme","status":"publish","type":"post","link":"https:\/\/www.sage.com\/fr-fr\/blog\/rgpd-obligations-donnees-personnelles-tpe-pme\/","title":{"rendered":"RGPD 2018 : les nouvelles obligations des entreprises"},"content":{"rendered":"
\n\t
\n\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\tL\u00e9gal & R\u00e9glementation<\/a>\t\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t
\n\t\t\t\t\t

\n\t\t\t\t\t\tRGPD 2018 : les nouvelles obligations des entreprises\t\t\t\t\t<\/h1>\n\t\t\t\t<\/div>\n\n\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t\t\t\t<\/p>\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t<\/div>\n\t\t

\n\t\t
\n\t\t\tPubli\u00e9 le
\n\t
\n\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\n\t\t
\n\t\t\t\n\t\t\t\t\"Christophe\t\t\t\tChristophe Adam<\/span>\n\t\t\t<\/a>\n\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t<\/div>\n<\/div>\n\n\n\n

Le 25 mai 2018, le R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es (RGPD en fran\u00e7ais, et GDPR en anglais) entrera en application. Valid\u00e9 en avril 2016, il renforce la protection des citoyens et accentue par cons\u00e9quent les obligations de toutes les entreprises (y compris les sites de e-commerce). Quelles que soient leur taille et leur activit\u00e9, elles doivent d\u00e8s \u00e0 pr\u00e9sent s’organiser pour \u00eatre en conformit\u00e9.<\/p>\n\n\n\n

72 heures chrono !<\/h2>\n\n\n\n

Si l’entreprise est victime d’un piratage informatique de son r\u00e9seau, entra\u00eenant une fuite de donn\u00e9es \u00e0 caract\u00e8re personnel, elle devra en avertir la Commission nationale de l’informatique et des libert\u00e9s (la CNIL) sous 72 heures. Pass\u00e9 ce d\u00e9lai ou si elle n’avertit pas cet organisme, la PME devra s’acquitter d’une amende. L’article 83.6 du RGPD<\/a> pr\u00e9cise que cette sanction peut atteindre jusqu’\u00e0 4% du chiffre d’affaires mondial annuel total de l’exercice pr\u00e9c\u00e9dent. Cependant, cette sanction ne concerne pas les TPE-PME. Les juges tiendront compte en effet des moyens et des comp\u00e9tences des entreprises.<\/p>\n\n\n\n

Protection des citoyens<\/h2>\n\n\n\n

Pour sch\u00e9matiser, le RGDP renforce et g\u00e9n\u00e9ralise la Loi n\u00b0 78-17 du 6 janvier 1978<\/a> relative \u00e0 l’informatique, aux fichiers et aux libert\u00e9s en vigueur en France. Jusqu’\u00e0 pr\u00e9sent, l’obligation de notifier les violations de donn\u00e9es personnelles ne concernait que les fournisseurs de services de communications \u00e9lectroniques.<\/p>\n\n\n\n

Cette pression plus forte sur les entreprises s’explique par l’objectif de ce r\u00e8glement : le renforcement de la protection des citoyens. Dor\u00e9navant, elles doivent obtenir un consentement explicite de la part de l’utilisateur final quant \u00e0 l’utilisation ou l’enregistrement de ses donn\u00e9es priv\u00e9es. Elles doivent permettre la portabilit\u00e9 des donn\u00e9es personnelles aux utilisateurs qui en feraient la demande. Enfin, ceux-ci b\u00e9n\u00e9ficient d’un droit \u00e0 la suppression de leurs donn\u00e9es personnelles par l’entreprise qui les traite.<\/p>\n\n\n\n

Donn\u00e9es brutes<\/h2>\n\n\n\n

Pour la majorit\u00e9 des TPE-PME, la mise en conformit\u00e9 avec le RGDP est complexe. Cette difficult\u00e9 commence d\u00e8s que l’on aborde la d\u00e9finition d’une \u00ab donn\u00e9e \u00e0 caract\u00e8re personnel \u00bb. Pour sch\u00e9matiser, il s’agit d’une donn\u00e9e permettant d’identifier une personne : nom, \u00e2ge, lieu de naissance, num\u00e9ro de s\u00e9curit\u00e9 sociale\u2026 Cela concerne donc les fichiers clients et prospects, mais aussi les informations sur les salari\u00e9s, int\u00e9rimaires, stagiaires\u2026 ll y a aussi des \u00ab donn\u00e9es brutes \u00bb (ou \u00ab\u00a0data\u00a0\u00bb en anglais), comme l’historique de navigation, les \u00ab likes \u00bb sur les r\u00e9seaux sociaux et les enseignements que l’on en retire (comme des pr\u00e9f\u00e9rences d\u00e9duites de cette navigation et de ces \u00ab likes \u00bb). En cas de fuites de donn\u00e9es, les entreprises devront avertir par lettre recommand\u00e9e avec accus\u00e9 de r\u00e9ception tous leurs clients et salari\u00e9s.<\/p>\n\n\n\n

La sensibilisation des salari\u00e9s<\/h2>\n\n\n\n

Seule une politique g\u00e9n\u00e9rale de protection de la vie priv\u00e9e, impliquant des mesures organisationnelles, juridiques et techniques sp\u00e9cifiques, permet d’\u00eatre en conformit\u00e9 avec ce r\u00e8glement. Les mesures techniques peuvent prendre plusieurs formes et en particulier :<\/p>\n\n\n\n